AgentPublic/cnil huggingface dataset:
35. En l’espèce, la formation restreinte note que les opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs situés en France, lors de l’utilisation du moteur de recherche […], sont intrinsèquement liées aux activités de la société […]. En effet, la société […] exploite et développe dans l’Espace économique européen (EEE) le moteur de recherche […], sur lequel des espaces publicitaires sont achetés par des annonceurs, la promotion de ces outils publicitaires étant assurés, pour le marché français, par une partie de l’équipe […]. 
36. Ainsi, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du moteur de recherche […], est bien effectué " dans le cadre des activités " de la société […]. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis. 
37. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive " ePrivacy ". 
B. Sur la détermination du responsable de traitement
38. La formation restreinte relève, tout d’abord, que l’article 4, paragraphe 7, du RGPD est applicable à la présente procédure en raison du recours à la notion de " responsable de traitement " dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive " ePrivacy " à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.
39. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ". 
40. Le rapporteur considère que la société […] agit en qualité de responsable du traitement en cause, en ce qu’elle détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscriptions d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […]. 
41. La société n’a pas fait valoir d’observations sur ce point.
42. La formation restreinte souligne que, dans son courrier du 13 novembre 2020, la société […], qui communique " sur la base des informations qui [lui] ont été communiquées par […]", faisait état du rôle de […] en tant que responsable du traitement des données effectué à partir du domaine […] pour les utilisateurs de l’EEE, du Royaume-Uni et de la Suisse et précisait que […] exerçait une influence décisive sur les finalités et les modalités de mise en œuvre des traitements et notamment les traitements relatifs à la publicité ciblée. La formation restreinte relève enfin que ces propos ont été confirmés par la société […] lors de l’audition du 4 février 2021.
43. Il résulte de ce qui précède que la société […] détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscriptions d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du moteur de recherche […], et agit donc en qualité de responsable du traitement en cause. 
C. Sur le manquement aux obligations en matière de cookies 
44. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive " ePrivacy ", " tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :
1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;
2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l’utilisateur ".
1. Sur l’obligation de recueillir le consentement de l’utilisateur au dépôt et à la lecture des cookies
a. En ce qui concerne le dépôt d’un cookie sur le terminal de l’utilisateur avant toute action de sa part, sans recueil de son consentement
45. Dans son rapport, le rapporteur relève que les contrôles effectués ont permis de constater que dès l’arrivée sur le site […], avant toute action de la part de l’utilisateur, le cookie […] était déposé sur le terminal de l’utilisateur. D’après les informations communiquées par […] dans le cadre de la procédure de contrôle, il s’agit d’un cookie multi-finalités utilisé pour assurer la sécurité du service, pour mesurer l’utilisation du site web et pour la présentation de publicités. La société a indiqué qu’un mécanisme de recueil du consentement permettait de déclencher les finalités publicitaires de ce cookie. La société précisait néanmoins que lorsque la finalité publicitaire de ce cookie n’était pas activée, il était utilisé pour la détection et le filtrage des fraudes publicitaires concernant les publicités non ciblées. Le rapporteur relève que les cookies relatifs à la détection et au filtrage des fraudes publicitaires s’inscrivent dans la finalité plus large de la publicité contextuelle qui recouvre l’ensemble des techniques publicitaires consistant à proposer des contenus publicitaires en fonction du contexte dans lequel se trouve l’individu exposé au message. Il considère que ces cookies n’ont donc pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne peuvent pas non plus être regardés comme strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Le rapporteur
considère ainsi que la société […] méconnaît les obligations de l’article 82 de la loi " Informatique et Libertés " en déposant ce cookie sans le consentement de l’utilisateur.
46. En défense, la société explique que le cookie […] est un cookie multi-finalités, utilisé à des fins essentielles et non essentielles pour éviter d’utiliser plusieurs cookies chacun pour une finalité, afin de réduire le nombre de lectures et écritures d’informations entre le terminal de l’utilisateur et […]. La société indique que seules les finalités essentielles sont activées avant que l’utilisateur donne son consentement. La société fait valoir qu’elle considère comme des finalités essentielles à la fonctionnalité de […]: les finalités de lutte contre la fraude, y compris la fraude publicitaire, de sécurité telles que la prévention des attaques par déni de service, de détection des logiciels malveillants et de lutte contre la désinformation. La société soutient que ces finalités indissociables sont strictement nécessaires à la fourniture des services […] tels que demandés par l’utilisateur. La société précise qu’en l’absence de consentement de l’utilisateur, la seule finalité publicitaire pour laquelle le cookie […] est utilisé est la publicité non ciblée dans le cadre de la lutte contre la fraude publicitaire.
47. Dans sa réponse, le rapporteur rappelle que, lorsque la finalité publicitaire du cookie […] n’était pas activée, ce cookie était néanmoins utilisé pour la détection et le filtrage des fraudes publicitaires concernant les publicités non ciblées. Il considère donc que le dépôt de ce cookie nécessite de recueillir au préalable le consentement de l’utilisateur pour cette finalité. En outre, le rapporteur précise, en réponse à l’argumentation de la société considérant la finalité de lutte contre la fraude au sens large comme une finalité essentielle exemptée de consentement, que seule la finalité de lutte contre les attaques en déni de service pourrait être exemptée de consentement. Le rapporteur relève que les autres finalités évoquées ne relèvent pas du champ des exemptions prévues par l’article 82 de la loi Informatique et Libertés puisqu’elles n’ont pas vocation à faciliter une communication électronique et ne sont pas strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur.
48. La société, dans ses dernières observations, soutient que les finalités de détection des maliciels et de lutte contre la désinformation, et la fraude publicitaire sont strictement nécessaires à la fourniture du service […], service qui produit des résultats de recherche pertinents, fiables et sûrs. La société soutient que le terme service doit être interprété en référence aux attentes légitimes d’un utilisateur, ainsi qu’aux obligations légales du fournisseur, concernant l’intégrité, la qualité et la sécurité. Elle soutient qu’en tout état de cause, une fois que le cookie […] est placé sur le terminal de l’utilisateur pour une finalité essentielle, l’article 82 de la loi Informatique et Libertés ne s’applique pas aux utilisations ultérieures par la société des données à caractère personnel stockées dans le cookie. En ce sens, la société conclut que la lutte contre la désinformation, la fraude, les spams et les abus est compatible avec la prévention des attaques par déni de service, la cybercriminalité, l’équilibrage de la charge et la continuité de session à session au regard de l’article 6, paragraphe 4, du RGPD. La société soutient également que dans ce cas, la conformité aux exigences du RGPD serait alors supervisée par la Data Protection Commission, l’autorité de protection irlandaise, dans le cadre du guichet unique prévu par le RGPD, et non pas par la CNIL.
49. En premier lieu, s’agissant des cookies et autres traceurs multi-finalités, la formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas spécifiques dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. La formation restreinte relève à titre illustratif que la Commission précise, dans ses lignes directrices du 17 septembre 2020, que " l’utilisation d’un même traceur pour plusieurs finalités, dont certaines n’entrent pas dans le cadre de ces exemptions, nécessite de recueillir préalablement le consentement des personnes concernées, dans les conditions rappelées par les présentes lignes directrices. À titre d’exemple, dans le cas d’un service offert via une plate-forme nécessitant l’authentification des usagers (" univers logué "), l’éditeur du service pourra utiliser un cookie pour authentifier les utilisateurs sans demander leur consentement (car ce cookie est strictement nécessaire à la fourniture du service de communication en ligne). En revanche, il ne pourra utiliser ce même cookie pour des finalités publicitaires que si ces derniers ont
effectivement consenti préalablement à cette finalité spécifique ".
50. La formation restreinte considère ainsi que, si un cookie multi-finalités peut être déposé sans consentement pour une finalité essentielle qui relève de l’une des deux exemptions prévues à l’article 82 de la loi Informatique et Libertés, la société ne pourra utiliser ce cookie pour des finalités non essentielles que si l’utilisateur a effectivement consenti à ces finalités spécifiques préalablement à son inscription dans son terminal, contrairement à ce que soutient la société. En effet, la formation restreinte relève que déposer un cookie multi-finalités sur le terminal de l’utilisateur pour des finalités essentielles exemptes du recueil du consentement au titre des exemptions prévues à l’article 82 de la loi Informatique et Libertés, puis faire relever du RGPD les traitements ultérieurs réalisés pour des finalités non essentielles dudit cookie, reviendrait à détourner les dispositions de la loi Informatique et Libertés puisque le consentement de l’utilisateur ne serait plus jamais sollicité préalablement au dépôt de cookies.
S’agissant de l’indissociabilité des finalités invoquée par la société, la formation restreinte rappelle que le recours à un traceur multi-finalités est une souplesse laissée au responsable de traitement pour ne pas surcharger le terminal de l’utilisateur d’une multitude de traceurs correspondant chacun à une finalité particulière.
51. En second lieu, la formation restreinte considère qu’afin de déterminer si l’inscription d’un cookie multi-finalités, tel que le cookie […], sur le terminal des utilisateurs nécessite le recueil préalable de leur consentement, il convient de déterminer si parmi les finalités annoncées par la société, au moins l’une d’entre elles nécessite le recueil préalable du consentement.
52. En l’espèce, la formation restreinte note que le cookie […] a notamment pour finalité la lutte contre la fraude publicitaire, comprise comme l’ensemble des pratiques de tiers visant à manipuler la distribution et la mesure publicitaire opérée par la société […], que cette fraude soit opérée au détriment de la société […] ou de ses partenaires publicitaires. Elle considère que cette finalité s’inscrit dans celle plus large de la publicité contextuelle qui recouvre l’ensemble des techniques publicitaires consistant à proposer des contenus publicitaires en fonction du contexte dans lequel se trouve l’individu exposé au message. La formation restreinte estime que cette finalité concerne la diffusion publicitaire, au bénéfice de […] et de ses clients annonceurs, mais n’impacte pas la fourniture du service du moteur de recherche aux utilisateurs. Elle relève que la société opère une confusion entre la diffusion de contenus malveillants par les services de publicité du moteur de recherche, qui relève de la gestion interne de la société, et la détection de la fraude opérée par des bots, qui permet de lutter contre la création artificielle de clics sur des contenus publicitaires ou des liens d’affiliations afin d’éviter que des robots fassent augmenter artificiellement le nombre de vues d’une publicité, et qui est désignée comme étant la lutte contre la fraude publicitaire.
53. La formation restreinte considère que les cookies ayant cette finalité ne remplissent aucune des conditions prévues pour les deux exceptions précitées, dès lors notamment que la publicité n’est pas le service demandé par l’utilisateur, et nécessitent le consentement de l’utilisateur. La formation restreinte rappelle que cette position n’est pas nouvelle puisqu’elle est soutenue par la CNIL depuis le 18 mars 2021 dans la FAQ " Questions-réponses sur les lignes directrices modificatives et la recommandation " cookie et autres traceurs " publiée sur son site web. La formation restreinte rappelle que cet instrument de droit souple indique précisément que les cookies de lutte contre la fraude publicitaire n’ont pas vocation à faciliter une communication électronique et ne sont pas non plus strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur. 
54. Compte tenu de de ces éléments et sans qu’il soit besoin de se prononcer sur les autres finalités invoquées par la société, la formation restreinte considère que le dépôt et la lecture d’un cookie multi-finalités tel que le cookie […] sur le terminal de l’utilisateur, à tout le moins pour la finalité de lutte contre la fraude publicitaire telle que définie aux paragraphes 52 et 53, nécessitent que l’utilisateur donne son consentement préalable, dans les conditions prévues par l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4, paragraphe 11, du RGPD.
55. La formation restreinte considère ainsi qu’en permettant, au jour du contrôle en ligne du 11 mai 2021, le dépôt et la lecture de ce cookie sur le terminal de l’utilisateur lors de son arrivée sur le site […] sans recueillir préalablement son consentement, la société […] a méconnu les obligations de l’article 82 de la loi Informatique et Libertés. 
b. En ce qui concerne le dépôt d’un cookie sur le terminal de l’utilisateur après navigation sans recueil de son consentement
56. Le rapporteur relève que le contrôle en ligne du 11 mai 2021 a permis de constater que le cookie […] était déposé sur le terminal de l’utilisateur après la poursuite de la navigation, sans que le consentement de l’utilisateur ait été recueilli. D’après les informations communiquées par la société dans le cadre de la procédure de contrôle, le cookie […] a une finalité publicitaire. Le rapporteur a donc considéré que la société […] méconnaissait les obligations de l’article 82 de la loi " Informatique et Libertés " en déposant ce cookie, sans le consentement de l’utilisateur, alors que les cookies et autres traceurs à finalité publicitaire ne font pas partie des cookies exemptés de consentement au titre de l’article précité. Par ailleurs, le rapporteur a pris acte que, postérieurement au contrôle en ligne, la société a indiqué que ce cookie avait été ajouté par inadvertance et qu’elle rectifierait cette erreur avant le 30 juillet 2021 en ne le plaçant qu’après avoir obtenu le consentement des utilisateurs.
57. En défense, la société indique qu’elle avait mal catégorisé le cookie […] en raison d’une simple inadvertance humaine et que ce dernier n’a été placé que pendant une courte période puisque, depuis le 30 juillet 2021, ce cookie est désormais soumis au recueil du consentement des utilisateurs. La société invoque un " droit à l’erreur " et explique avoir agi de parfaite bonne foi puisqu’elle aurait elle-même indiqué son erreur à la CNIL en déclarant en toute transparence, par un courrier en date du 12 juillet 2021, que ce cookie avait été ajouté par inadvertance au site.
58. La formation restreinte relève que le courrier du 12 juillet 2021 par lequel la société a reconnu avoir mal catégorisé le cookie […] est une réponse à la question posée par la délégation de contrôle dans le cadre du procès-verbal dressé à l’issue du contrôle en ligne du 11 mai 2021, " Préciser les finalités des cookies dont le dépôt a pu être constaté dans le PV n° 2020-128/3 du 11 mai 2021 ". La formation restreinte considère que, si le dépôt du cookie […] sans recueillir le consentement de l’utilisateur n’était pas intentionnel, il résultait néanmoins d’une erreur grossière de la part de la société qui n’a pas contesté la finalité publicitaire dudit cookie. En outre, ce n’est qu’à la suite du contrôle diligenté par la Commission que […] a constaté son erreur et y a mis fin.
59. La formation restreinte considère qu’en permettant, au jour du contrôle en ligne du 11 mai 2021, le dépôt et la lecture du cookie […] sur le terminal de l’utilisateur après navigation sur le site […] sans recueillir préalablement son consentement, la société […] a méconnu les obligations de l’article 82 de la loi " Informatique et Libertés ", les cookies et autres traceurs à finalité publicitaire ne faisant pas partie des cookies exemptés de consentement au titre de l’article précité. 
2. Sur les conditions du recueil du consentement 
60. En droit, la directive " ePrivacy " prévoit en son article 2, f), que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD. 
61. Ainsi, depuis l’entrée en application du RGPD, le " consentement " prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11, du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair. 
62. À cet égard, le considérant 42 de ce Règlement prévoit que " le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ".
63. La CNIL considère qu’il résulte de ces dispositions combinées, ainsi qu’elle les a interprétées dans sa délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux " cookies et autres traceurs ") et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ", qu’il doit être aussi aisé de refuser ou retirer son consentement aux traceurs que de le donner. La formation restreinte rappelle que si ces instruments n’ont certes pas de caractère impératif, ils visent à interpréter les dispositions législatives applicables et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect des dispositions légales, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les lignes directrices que celles-ci " ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage des témoins de connexion ". Dès lors, la formation restreinte rappelle qu’elle retient un manquement aux obligations découlant de l’article 82 de la loi
Informatique et Libertés et non du non-respect des recommandations qui constituent un éclairage pertinent pour éclairer les obligations prévues par les législateurs européen et français, en tirant notamment toutes les conséquences du principe de liberté du consentement tel que défini à l’article 4, paragraphe 11, du RGPD, et en les appliquant aux hypothèses de l’acceptation et du refus par l’utilisateur au dépôt de cookies sur son terminal. En effet, ce principe de liberté du consentement implique que l’utilisateur bénéficie d’une " véritable liberté de choix ", comme souligné au considérant 42 du RGPD, et donc que les modalités qui lui sont proposées pour manifester ce choix ne soient pas biaisées en faveur du consentement.
64. S’agissant des modalités de refus possibles, dans cette même recommandation, la Commission a préconisé " fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d'exprimer un consentement. En effet, elle estime que les interfaces de recueil du consentement qui nécessitent un seul clic pour consentir au traçage tandis que plusieurs actions sont nécessaires pour " paramétrer " un refus de consentir présentent, dans la plupart des cas, le risque de biaiser le choix de l’utilisateur, qui souhaite pouvoir visualiser le site ou utiliser l’application rapidement.
Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement " tout accepter " et " tout refuser ", " autoriser " et " interdire ", ou " consentir " et " ne pas consentir ", ou toute autre formulation équivalente et suffisamment claire. La Commission considère que cette modalité constitue un moyen simple et clair pour permettre à l’utilisateur d’exprimer son refus aussi facilement que son consentement ".