AgentPublic/cnil huggingface dataset:
92. La formation restreinte observe en outre que le dernier alinéa de l’article 2 de la recommandation de la CNIL issue de la délibération n° 2013-378 du 5 décembre 2013 rappelait déjà que " les personnes ayant donné leur consentement au dépôt ou à la lecture de certains cookies doivent être en mesure de le retirer à tout moment. Des solutions conviviales doivent donc être mises en œuvre pour que la personne puisse retirer son consentement aussi facilement qu’elle a pu le donner ". Ensuite, dans sa délibération n° 2019-093 du 4 juillet 2019, la CNIL a maintenu ce rappel à l’article 2, indiquant " qu’il doit être aussi facile de refuser ou de retirer son consentement que de le donner ".
93. Il convient également de préciser que saisi d’un recours pour excès de pouvoir formé contre ces lignes directrices, le Conseil d’État a jugé que " la CNIL qui, en indiquant qu’il devait "être aussi facile de refuser ou de retirer son consentement que de le donner", s’est bornée à caractériser les conditions du refus de l’utilisateur, sans définir de modalités techniques particulières d’expression d’un tel refus, n’a entaché sa délibération d’aucune méconnaissance des règles applicables en la matière " (CE, 19 juin 2020, n° 434684, aux Tables). Ainsi, cette disposition des lignes directrices, qui ne fait que rappeler les règles légales, n’a pas été réformée par le Conseil d’État.
94. Enfin, les lignes directrices du 17 septembre 2020 issues de la délibération n° 2020-091 n’ont fait que reprendre ce principe, en indiquant en leur point 31 qu’" il doit être aussi simple de retirer son consentement que de le donner. Les utilisateurs ayant donné leur consentement à l’utilisation de traceurs doivent être en mesure de le retirer simplement et à tout moment ". Il ne s'agit donc pas d'une orientation nouvelle qu'auraient fixée ces lignes directrices.
95. En deuxième lieu, la formation restreinte relève que tant lors du contrôle en ligne du 7 octobre 2020 que lors de celui du 10 juin 2021, la délégation de la CNIL a constaté l’affichage, au cours du parcours de retrait du consentement, de messages destinés à informer l’utilisateur des conséquences de son choix sur l’utilisation des services x.
96. A cet égard, il ressort du premier contrôle réalisé le 7 octobre 2020 pour les besoins duquel la délégation avait créé un compte " x mail ", que lorsque la délégation a suivi le parcours lui permettant de retirer son consentement elle s’est vu afficher une fenêtre indiquant que le responsable du traitement " stock[e] des cookies (ou une technologie similaire) sur [l’]appareil de l’utilisateur " ainsi qu’une mention précisant : " Vous devez les accepter pour pouvoir utiliser les produits x. Si vous les désactivez, vous révoquez votre consentement et ne pourrez plus accéder aux produits x, notamment x Mail, xt, etc. ".
97. La formation restreinte relève également qu’après avoir cliqué sur le lien intitulé " En savoir plus " en bas de cette fenêtre, la délégation de la CNIL est arrivée sur une nouvelle page contenant un article répondant à une question dont le libellé indique " Que se passe-t-il si je retire mon accord relatif aux cookies depuis le tableau de bord sur la vie privée ? " et que la réponse à cette question précisait que si " les utilisateurs de l’Union européenne peuvent retirer cet accord relatif aux cookies pour leur compte depuis le tableau de bord sur la vie privée ", " le retrait de cet accord entraînera le blocage de l’accès à nos produits et à d’autres sites et applications x ".
98. S’agissant du second contrôle en ligne du 10 juin 2021, au cours duquel la délégation de contrôle a navigué sur le domaine " x " sans créer de compte, la formation restreinte constate également que si un internaute pouvait révoquer son consentement général à partir de la page intitulée " Tableau de bord sur la vie privée et contrôles (visiteurs) ", il apparait qu’avant que l’intéressé n’achève la procédure visant à retirer son consentement, une page surgissait suivie de la mention " Etes-vous sûr ? Vous ne pourrez plus accéder à x ni aux autres produits x ".
99. Cette alerte était accompagnée d’un texte précisant " si vous révoquez votre consentement général, vous perdez l’accès à tous les produits x, notamment le contenu de votre messagerie, aussi bien par le biais des services de x que par les outils tiers susceptibles d’accéder aux services de x. Votre compte sera considéré comme inactif et sera supprimé au bout de 12 mois d’inactivité. Veuillez noter qu’aucun contenu lié à votre compte, comme vos informations d’inscription ou le contenu de votre messagerie, ne sera effacé tant que votre compte n’aura pas été supprimé. Vous continuerez à recevoir des mails dans votre compte mais vous ne pourrez plus y accéder. Si vous souhaitez réutiliser un produit x, vous devrez à nouveau fournir votre consentement général avant de pouvoir y accéder. Si vous souhaitez effectuer d’autres activités dans le tableau de bord sur la vie privée (comme télécharger un résumé de vos données) ou dans d’autres produits x, veuillez le faire avant de révoquer votre consentement ". En bas de cette fenêtre figurait deux boutons, l’un intitulé " Retour " et l’autre " Révoquer mon consentement général ".
100. La formation restreinte constate qu’à l’occasion des parcours suivis par la délégation, l’utilisateur est invité à exprimer son choix s’agissant de l’inscription de cookies sur son terminal. Elle observe toutefois que lors de ces parcours, la société ne délivre aucune information à l’utilisateur s’agissant du fait que l’inscription de certains cookies, quelle que soient leurs finalités, est indissociable de la fourniture des services x, dont le service de messagerie électronique. Elle observe que ce n’est qu’à l’occasion du parcours dédié au retrait du consentement que la société porte à la connaissance de l’utilisateur le fait que l’utilisation de ses services est conditionnée à l’acceptation de certains cookies et quelles sont les conséquences d’un retrait du consentement.
101. La formation restreinte observe que si le fait de lier l’utilisation d’un service à l’inscription de cookies non strictement nécessaires au service fourni, pratique qui est assimilable à un cookie wall, n’est pas en soi illégale, c’est à la condition que le consentement soit libre, ce qui implique que tant le refus du consentement que son retrait n’entrainent pas de préjudice pour l’utilisateur.
102. La formation restreinte souligne sur ce point que dans sa décision Meta (C 252/21, 4 juillet 2023), la CJUE apporte un éclairage sur les conditions dans lesquelles le consentement donné par l’utilisateur d’un service et donc, corrélativement, son retrait, peut être considéré comme libre. Ainsi, au point 150 de sa décision, la Cour indique que les " utilisateurs doivent disposer de la liberté de refuser individuellement, dans le cadre du processus contractuel, de donner leur consentement à des opérations particulières de traitement de données non nécessaires à l’exécution du contrat sans qu’ils soient pour autant tenus de renoncer intégralement à l’utilisation du service offert par l’opérateur du réseau social en ligne, ce qui implique que lesdits utilisateurs se voient proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente non accompagnée de telles opérations de traitement de données. "
103. Or, en l’espèce, le retrait de consentement ne peut se faire sans préjudice pour l’utilisateur puisqu’il ne peut plus utiliser le service de messagerie. A supposer même que la société puisse valablement se prévaloir du fait qu’elle aurait mis en place un " cookie wall ", et outre le fait que la société n’informe pas correctement les utilisateurs au moment de la création d’un compte ou de leur arrivée sur la page " x.com " de ce que l’utilisation de ses services est indissociable du dépôt de cookies, il apparait que la société ne propose pas d’alternative aux utilisateurs souhaitant retirer leur consentement, par exemple en fournissant un service de messagerie électronique payante.
104. La formation restreinte relève que l’absence d’alternative proposé par la société affecte nécessairement le caractère libre du retrait du consentement. En effet, l’utilisateur du service " x Mail " peut, grâce à ce service, échanger avec d’autres personnes au moyen de son adresse électronique, développer son réseau et son carnet d’adresse virtuel et archiver des conversations personnelles ou professionnelles importantes. Dès lors, à mesure qu’il utilise son adresse de messagerie, l’utilisateur se trouve captif du service de messagerie en cause, qui constitue un élément de sa vie privée, familiale, éventuellement professionnelle et qu’il ne peut, dès lors qu’il a commencé à l’utiliser, plus remplacer par n’importe quel service similaire aussi facilement qu’il l’aurait fait initialement. Les utilisateurs ne souhaitant pas changer d’adresse électronique et renoncer au contenu de la messagerie sont dès lors conduits à renoncer au retrait de leur consentement puisque la société ne propose aucune alternative.
105. La formation restreinte observe ensuite que malgré la présence de boutons permettant le retrait du consentement, ces messages sont susceptibles de constituer un obstacle sérieux pour l’utilisateur qui, pour retirer son consentement, doit notamment être prêt à renoncer à l’usage de son adresse électronique, ce qui conduit à entraver sa possibilité de correspondre avec autrui. Un tel renoncement constitue, selon la formation restreinte, un préjudice au sens du considérant 42 du RGPD précité en l’absence, comme rappelé aux paragraphes précédents, d’alternative proposée par la société. Dans ces circonstances, la formation restreinte considère que le retrait du consentement à l’inscription de cookies n’est pas libre.
106. En troisième lieu, la formation restreinte relève également, que si la société indique qu’il existait d’autres méthodes permettant aux utilisateurs de retirer leur consentement, via le " Tableau de bord sur la vie privée x " et l’onglet " Consentement général ", elle ne fournit aucun élément en ce sens. La formation restreinte observe que lors des parcours utilisateurs qu’elle a suivis, la délégation a systématiquement cliqué sur les boutons et les onglets comportant des intitulés intuitifs tel que " Votre compte ", puis " Consentement général " ou encore, " En savoir plus ". Ainsi, les parcours suivis par la délégation lors des deux contrôles en ligne sont ceux que les utilisateurs sont les plus susceptibles de suivre lorsqu’ils souhaitent retirer leur consentement.
107. En dernier lieu, la formation estime que la circonstance, avancée par la société, selon laquelle les utilisateurs ne souhaitant plus recourir au service de messagerie x pouvaient exercer leur droit à la portabilité tel que prévu par l’article 20 du RGPD ne permet en aucun cas d’empêcher le dépôt de cookies sur le terminal, ce qui est pourtant l’objet du droit au retrait du consentement. Au demeurant, il ne résulte pas de l’instruction que la société proposait cette solution à ces utilisateurs lorsqu’ils souhaitaient retirer leur consentement.
108. Dans ces conditions, la formation restreinte considère qu'en faisant obstacle au retrait, par l’utilisateur, de son consentement, la société a méconnu ses obligations au regard de l’article 82 de la loi Informatique et Libertés.
III. Sur les mesures correctrices et la publicité
109. Aux termes du III de l’article 20 de la loi Informatique et Libertés :
110. " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : (…) 7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
111. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi Informatique et Libertés, prévoit quant à lui que : " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative
112. En défense, la société X soutient que compte tenu de l’ensemble des circonstances de l’affaire, et plus particulièrement de ses efforts continus et proactifs en matière de protection des données, l’amende administrative proposée par le rapporteur doit être minorée et ne peut, en tout état de cause, atteindre le plafond légal. Elle indique que le délai d’instruction a eu un impact négatif important sur le montant de l’amende, qui est aujourd’hui déterminé au regard de son chiffre d’affaires de 2022, lequel est nettement supérieur à celui de l’année 2020 qui aurait été pris en compte si la formation restreinte avait examiné l’affaire en 2021. Elle ajoute que plusieurs des facteurs mentionnés au paragraphe 2 de l’article 83 du RGPD justifient de minorer le montant de l’amende administrative. À ce titre, elle précise que l’amende infligée doit correspondre à celle prononcée dans des affaires similaires, conformément aux principes de non-discrimination et d’égalité de traitement. La société ajoute que la CNIL doit, pour déterminer le montant de l’amende administrative, tenir compte de la gravité relative des manquements, du nombre de personnes concernées par ceux-ci, de leur durée, des mesures prises à la suite du premier contrôle en ligne et de sa coopération avec ses services.
113. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.
114. En premier lieu, en ce qui concerne le prononcé d’une amende administrative, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la nature et du nombre de personnes concernées par ce dernier.
115. S’agissant de la nature du premier volet du manquement, la formation restreinte relève que le responsable de traitement a porté une atteinte grave au droit pour les usagers de ses services de conserver la maîtrise de leurs données, en les traitant à leur insu, en contrariété avec le principe même fixé par l’article 82 de la loi Informatique et Libertés qui conditionne une telle action au consentement exprès de l’utilisateur.
116. S’agissant de la portée des opérations de lecture et d’écriture, la formation restreinte relève que le manquement se traduit par le dépôt de cookies par une quinzaine de sociétés spécialisées dans la publicité personnalisée dont le but est de suivre sa navigation sur le web afin que lui soit affichée ultérieurement de la publicité correspondant à son comportement.
117. S’agissant du second volet du manquement, la formation restreinte souligne sa particulière gravité, les conditions de retrait du consentement étant intrinsèquement liées à la liberté de consentir. Or, en l’espèce, ses modalités conduisent à faire pression sur les utilisateurs pour les dissuader de retirer leur consentement au dépôt de cookies, en leur laissant croire qu’ils pourraient ne plus pouvoir se servir des services de x. La formation restreinte estime que la violation de l’article 82 de la loi Informatique et Libertés est d’autant plus sérieuse qu’il s’agit pour les usagers d’une renonciation, notamment, à l’utilisation de leur messagerie et leur adresse électronique qui constituent des éléments importants de leur vie privée, familiale, éventuellement professionnelle.
118. Enfin, la formation restreinte rappelle que les deux volets du manquement ont été continuellement considérées comme non conformes par la CNIL, notamment dans la première recommandation du 5 décembre 2013.
119. S’agissant de la durée du manquement, pour le premier volet, la formation restreinte estime qu’il a perduré au moins quatre mois, entre le premier contrôle en ligne du 7 octobre 2020 et la finalisation, le 12 février 2021, de la première mesure de réévaluation de la pratique de la société pour s’assurer que les tiers respectent la législation en matière de cookies. Pour le second volet, qui a été constaté tant lors du premier contrôle en ligne qu’à l’occasion du second, le 10 juin 2021, la durée du manquement a couru au moins jusqu’au 7 juillet 2021, date à laquelle la société a supprimé l’onglet " Consentement général " et le texte qui l’accompagnait. La formation restreinte estime donc qu’il a perduré au moins 21 mois.
120. La formation restreinte souligne le nombre important de personnes concernées, au nombre d’environ 5 millions de visiteurs uniques du domaine " x.com " entre 2019 et 2020.
121. En deuxième lieu, la formation restreinte note que la société a collaboré avec les services de la CNIL et qu’elle a répondu à toutes les demandes d’information dans les délais impartis. Ce faisant, les sociétés ont respecté les obligations issues de l’article 18 de la loi Informatique et Libertés, sans que cela soit, pour autant, constitutif d’une circonstance atténuante au sens du f) de l’article 83 du RGPD, dès lors que la société ne démontre pas que sa collaboration avec la CNIL a permis de remédier à la violation identifiée et d’en atténuer les effets négatifs.
122. En troisième lieu, la formation restreinte relève que les améliorations relatives aux pratiques en matière de cookies de la société, synthétisées dans le document intitulé " Pratiques, amélioration et gouvernance mises en œuvre par x en matière de cookies ", ont été finalisées entre février et juillet 2021, si bien qu’elles ne peuvent utilement être prises en compte s’agissant des pratiques identifiées antérieurement, lors du premier contrôle en ligne qui s’est déroulé en octobre 2020 et de la pratique constatée lors du second contrôle en ligne de juin 2021. Par ailleurs et en tout état de cause, comme l’a indiqué le rapporteur dans sa réponse aux observations de la société, l’actualisation du processus de protection des données des utilisateurs des services xx s’inscrit dans la gestion courante de la société, qui doit s’assurer que son activité numérique s’effectue dans la légalité et, plus particulièrement, respecte la loi Informatique et Libertés.
123. En quatrième lieu, la formation restreinte souligne, que la société ne peut utilement comparer sa situation à celles d’autres entreprises ayant été sanctionnées pour des manquements à l’article 82 de la loi Informatique et Libertés dans la mesure où le montant d’une amende doit être déterminé au cas par cas.
124. En dernier lieu, l’amende administrative proposée doit être calculée compte tenu du chiffre d’affaires annuel mondial de l’exercice précédent, conformément à ce qu’exige l’article 20 de la loi Informatique et Libertés. La circonstance que le plafond légal de la sanction encourue par la société aurait, compte tenu de l’augmentation de son chiffre d’affaires entre 2020 et 2022, été moins élevé si les pratiques en cause avaient été examinées en 2021 est sans incidence sur ce point.
125. Il résulte de tout ce qui précède et des critères dont il a été dûment tenu compte par la formation restreinte, au vu du montant maximum encouru établi sur la base de 2 % du chiffre d’affaires, qu’il est justifié de prononcer une amende administrative à hauteur de dix millions (10 000 000) d’euros.
B. Sur la publicité de la décision
126. La société X soutient qu’une telle mesure est disproportionnée pour les mêmes motifs que ceux relatifs à l’infliction d’une amende administrative.
127. La formation restreinte considère toutefois que la publicité de la présente décision se justifie au regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées. Elle estime notamment que cette mesure permettra d’alerter les utilisateurs, dans la mesure où les cookies litigieux étaient déposés à leur insu, de la nature des manquements en cause.
128. Enfin, la formation restreinte considère que la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société X une amende administrative d’un montant de dix millions (10 000 000) d’euros pour manquement à l’article 82 de la loi Informatique et Libertés ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication ;
• adresser cette décision à la société x en vue de son exécution.
Le président
 
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ;
Vu la loi n° 2017-55 du 20 janvier 2017 modifiée portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 8-1 et 14 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 6 ;
Vu l'arrêté du 27 février 2020 pris en application du décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 4 à 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu Mme Marie-Laure DENIS, présidente, en son rapport, et M. Damien MILIC, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Le chapitre XIII de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 est remplacé par un chapitre XIII ainsi rédigé :
Chapitre XIII