AgentPublic/cnil huggingface dataset:
81. En premier lieu, la formation restreinte relève que, s’agissant spécifiquement des traitements relatifs aux opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des services Google, la responsabilité de la société GIL a déjà été établie à deux reprises (SAN-2020-012 du 7 décembre 2020 et SAN-2021-023 du 31 décembre 2021) et que cette analyse n’a pas été contestée devant le Conseil d’Etat (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil et CE, 19 juin 2020, 10ème et 9ème chambres réunies, société GOOGLE LLC, n° 430810, au recueil), ni même dans le cadre de la présente procédure.
82. En second lieu, s’agissant spécifiquement des traitements relatifs à la prospection électronique, la formation restreinte relève qu’il ressort de la documentation fournie lors des contrôles menés par la délégation ainsi que des échanges contradictoires qui se sont déroulés au cours de la procédure de sanction que la société GIL est identifiée comme le responsable de traitement pour les utilisateurs des services Google basés dans l’espace économique européen ou en Suisse, qui incluent les traitements liés à la mise en œuvre de Gmail et l’affichage de publicités au sein des services de Google.
83. Il en ressort que la société GIL est, au moins pour partie, responsable des traitements contrôlés consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des services Google et ceux relatifs à la prospection électronique sur le service Gmail.
2. Sur la responsabilité de la société GOOGLE LLC
84. La formation restreinte relève tout d’abord, qu’elle a, à deux reprises, retenu la responsabilité conjointe de la société GOOGLE LLC (CNIL, formation restreinte, 7 décembre 2020, Sanction n° SAN-2020-012 et CNIL, formation restreinte, 31 décembre 2021, n° SAN-2021-023 publiée aux Tables IL) s’agissant du traitement relatif aux opérations d’accès et/ou d’inscriptions d’informations dans le terminal des utilisateurs situé en France lors de l’utilisation de services Google, au regard du fait qu’elle conçoit et construit la technologie des produits Google, du rôle fondamental joué par la société dans l’ensemble du processus décisionnel portant sur le traitement, et au regard de son implication réelle décrite dans le contrat de sous-traitance du 11 décembre 2018, la liant à la société GIL. Elle rappelle que cette analyse n’a pas été contestée devant le Conseil d’Etat (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil et CE, 19 juin 2020, 10ème et 9ème chambres réunies, société GOOGLE LLC, n° 430810, au recueil).
85. La formation restreinte relève ensuite que les représentants des sociétés ont confirmé dans leurs écritures que la société GOOGLE LLC participe toujours au développement des produits Google.
86. S’agissant du service Gmail, la formation restreinte relève que seuls les utilisateurs localisés dans l’espace économique européen (ci-après " l’EEE ") se voient proposer d’activer les fonctionnalités dites " intelligentes " - qui permettent notamment d’opérer une séparation de la boite de réception de la messagerie en trois onglets distincts " Principale ", " Promotion " et " Réseaux sociaux " - et qui sont désactivées par défaut contrairement aux utilisateurs dans le reste du monde pour qui ces fonctionnalités sont activées par défaut. Elle relève néanmoins que les publicités affichées dans le service Gmail sont mises en œuvre de façon uniforme partout dans le monde via le service Discovery de Google Ads. La formation restreinte considère que la désactivation par défaut des " fonctionnalités intelligentes " concernant les utilisateurs de l’EEE n’est qu’une différence d’exécution qui ne remet pas en cause la finalité publicitaire globale du service Gmail et qui n’illustre pas en tant que telle une autonomie décisionnelle totale de GIL sur l’ensemble des caractéristiques essentielles des moyens et finalités du traitement en cause.
87. En outre, la formation restreinte relève que […], le […] est chargé de l’approbation des politiques internes de protection de la vie privée auxquelles doivent se conformer tous les produits, services ou fonctionnalités lancés par Google dans l’EEE et en Suisse. […].
88. Elle relève néanmoins qu’au sein de l’organigramme décisionnel existant au sein du groupe GOOGLE, d’autres instances interviennent directement sur les traitements en cause. En effet, il ressort de la documentation fournie au cours des investigations que […].
89. Or, la formation restreinte note qu’il ressort des pièces du dossier que […] est une entité rattachée à Google LLC chargée de prendre des décisions sur tous les traitements de données mis œuvre dans le cadre de la fourniture des produits et services Google et qu’il agit en tant qu’organe d’arbitrage lorsqu’une question se pose en matière de protection des données.
90. Il ressort également des pièces du dossier que le […] est composé, au moins pour partie, […].
91. La formation restreinte considère que si, lorsqu’une question concernant les utilisateurs de l’EEE est transmise […] conduit nécessairement à considérer que cette dernière participe à la prise de décisions concernant les produits et services déployés dans l’espace économique européen et les questions en lien avec la protection des données qu’ils peuvent soulever.
92. Ainsi, la formation restreinte relève que malgré la participation de la société GIL aux différentes étapes et instances liées à la définition des modalités de mise en œuvre des traitements relatifs aux cookies déposés lors de l’utilisation des services Google et à la prospection électronique sur Gmail, l’organisation matricielle décrite par les sociétés a mis en évidence que la société GOOGLE LLC est également représentée dans les organes adoptant les décisions relatives au déploiement des produits au sein de l’EEE et en Suisse et aux traitements de données à caractère personnel des utilisateurs y résidant et qu’elle y exerce une influence significative.
93. De même, la formation restreinte relève que le délégué à la protection des données désigné par la société GIL est […]. Elle considère que cela témoigne encore de l’implication importante de GOOGLE LLC sur les traitements de données mis en œuvre dans l’EEE.
94. La formation restreinte relève enfin que le contrat de sous-traitance liant les sociétés, n’a pas subi d’évolution depuis la délibération de sanction no SAN-2021-023 du 31 décembre 2021. Dès lors, la formation restreinte considère que l’analyse menée dans le cadre de cette précédente procédure est toujours pertinente s’agissant des traitements liés aux cookies et qu’elle est également pertinente s’agissant du traitement relatif à la prospection électronique sur le service Gmail, dans la mesure où le contrat en question vise également précisément ce service.
95. Il résulte de ce qui précède que les sociétés GOOGLE LLC et GIL déterminent conjointement les finalités et les moyens des traitements consistant en des opérations d’accès et/ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des services Google et relatif à la prospection électronique réalisée sur le service Gmail à destination des messageries électroniques des utilisateurs résidant en France.
D. Sur le manquement à l’obligation d’informer les personnes concernées et d’obtenir leur consentement avant d’inscrire des informations (cookies) sur leur terminal de communications électroniques 
96. En droit, l’article 82 de la loi Informatique et Libertés, transposant en droit français l’article 5, paragraphe 3 de la Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002, dispose que tout " abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète […] des moyens dont il dispose pour s’y opposer " et que, sauf s’il s’agit de cookies strictement nécessaires à la fourniture du service sollicité par l’utilisateur ou de cookies ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique, une opération d’accès et/ou d’inscription d’informations ne peut avoir lieu qu’à la condition que l’utilisateur ait exprimé son consentement.
97. Pour être valable, le consentement de l’internaute doit répondre aux caractéristiques requises par le RGPD, la directive précitée renvoyant en effet à la définition du consentement telle que prévue, à ce jour par le RGPD. A cet égard, la formation restreinte observe que la délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives aux " cookies et autres traceurs " rappelle expressément que le consentement exigé par l’article 82 de la loi Informatique et Libertés renvoie à la définition et aux conditions prévues aux articles 4 paragraphe 11 et 7 du RGPD (§ 5 et 6).
98. En vertu de l’article 4 paragraphe 11 du RGPD, le consentement s’entend comme toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement.
99. Le considérant 32 du RGPD prévoit également que " Le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant […]. ".
100. La formation restreinte souligne que les travaux conduits par la Commission sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière plus générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé.
101. S’agissant du caractère libre du consentement, la Commission recommande que les solutions mises à la disposition de l’utilisateur pour refuser l’utilisation de cookies présentent le même degré de simplicité que celles prévues pour en accepter l’usage. La CNIL a rappelé les obligations légales en la matière et formulé des recommandations pour leur application dans les lignes directrices et une recommandation sur les traceurs (délibérations n°2020-091 et 2020-092 du 17 septembre 2020). Il y est notamment indiqué que : " Afin de ne pas induire en erreur les utilisateurs, la Commission recommande aux éditeurs de sites de s’assurer que la présentation des interfaces de recueil des choix n’intègre pas de pratiques potentiellement trompeuses qui mettent visuellement plus en valeur un choix plutôt qu’un autre " (§34 de la délibération n° 2020-092 précitée). Plus précisément, la recommandation précitée prévoit que " le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité " (§30 de la délibération n° 2020-092 précitée). En outre, la Commission recommande que " le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible […] avec la même facilité que le mécanisme permettant un consentement " afin que le choix de l’utilisateur qui souhaite pouvoir visualiser le site ou utiliser l’application rapidement
soit valable (§31 de la délibération n° 2020-092 précitée). À titre d’exemple, il est recommandé d’utiliser des boutons et une police d’écriture de même taille, offrant la même facilité de lecture, et mis en évidence de manière identique (§34 de la délibération n° 2020-092 précitée). Il ressort de l’avis n° 08/2024 portant sur la validité du consentement dans le cadre des modèles " consentir ou payer " mis en place par les grandes plateformes en ligne adopté le 17 avril 2024 par le Comité européen de la protection des données (ci-après " CEPD "), que, pour que le consentement soit " libre ", " Les responsables du traitement doivent veiller à ce que les personnes concernées jouissent d’une réelle liberté de choix lorsqu’elles sont invitées à consentir au traitement de leurs données à caractère personnel, et ils ne peuvent limiter l’autonomie des personnes concernées en rendant le refus plus difficile que le consentement. " (§68).
102. Dans sa décision Meta (C 252/21, 4 juillet 2023), la CJUE apporte un éclairage sur les conditions dans lesquelles le consentement donné par l’utilisateur d’un service peut être considéré comme libre. Ainsi, au point 150 de sa décision, la Cour indique que les " utilisateurs doivent disposer de la liberté de refuser individuellement, dans le cadre du processus contractuel, de donner leur consentement à des opérations particulières de traitement de données non nécessaires à l’exécution du contrat sans qu’ils soient pour autant tenus de renoncer intégralement à l’utilisation du service offert par l’opérateur du réseau social en ligne, ce qui implique que lesdits utilisateurs se voient proposer, le cas échéant contre une rémunération appropriée, une alternative équivalente non accompagnée de telles opérations de traitement de données. " (soulignements ajoutés).
103. S’agissant des alternatives évoquées par la CJUE, le CEPD considère dans l’avis précité, que " Le fait d’offrir une (unique) option alternative au service qui soit payante et qui inclu[t] le traitement à des fins de publicité comportementale ne devrait pas constituer la voie à suivre par défaut pour les responsables du traitement. Au contraire, lorsqu’ils conçoivent l’option alternative à la version du service avec publicité comportementale, les responsables du traitement devraient envisager de proposer aux personnes concernées une " option alternative équivalente " qui n’implique pas le versement d’une rémunération, telle que l’option alternative gratuite sans publicité comportementale […]. Cette autre solution ne doit pas comprendre de traitement à des fins de publicité comportementale et peut, par exemple, être une version du service assortie d’une autre forme de publicité impliquant le traitement d’un nombre réduit (ou nul) de données à caractère personnel, par exemple de la publicité contextuelle ou générale ou de la publicité fondée sur des thèmes que la personne concernée a sélectionnés dans une liste de sujets d’intérêt." (§73 et§75) (soulignements ajoutés). Il est également précisé que " le fait qu’une option alternative gratuite sans publicité comportementale soit proposée ou non constitue un facteur particulièrement important à prendre en considération lorsqu’il s’agit d’évaluer si les personnes concernées peuvent exercer un choix réel et, partant, si le
consentement est valable. " (§77) (soulignements ajoutés) et " Bien qu’il n’existe aucune obligation pour les grandes plateformes en ligne de toujours proposer des services gratuits, la mise à la disposition des personnes concernées de cette autre option supplémentaire renforce leur liberté de choix. Il est ainsi plus facile pour les responsables du traitement de démontrer que le consentement est donné librement. " (§76) (soulignement ajouté). Enfin, l’avis indique que " le CEPD considère notamment qu’au moment d’évaluer la validité du consentement et de déterminer si la personne concernée est en mesure d’exercer un véritable choix, il est pertinent de savoir si un utilisateur se voit proposer, outre un service reposant sur une technologie de suivi et un service payant, un autre type de service, tel qu’un service assorti d’une forme de publicité moins intrusive. " (§77). (soulignements ajoutés).
104. S’agissant du caractère éclairé du consentement, le considérant 42 du RGPD prévoit que " Pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l’identité du responsable de traitement et les finalités du traitement auquel sont destinées les données à caractère personnel. ".
105. Les lignes directrices 5/2020 sur le consentement au sens du Règlement (UE) 2016/679 du CEPD du 4 mai 2020, indiquent que " les responsables du traitement devraient élaborer des mécanismes de consentement clairs pour les personnes concernées. Ils doivent éviter toute ambiguïté et veiller à ce que l’acte par lequel le consentement est accordé puisse se distinguer de tout autre acte. " (soulignements ajoutés).
106. À titre d’éclairage, les lignes directrices précisent que " le responsable des données devrait accompagner chacune des demandes de consentement distinctes d’informations spécifiques concernant les données traitées pour chaque finalité afin que les personnes concernées soient conscientes de l’incidence de leur choix. Les personnes concernées pourront ainsi donner leur consentement spécifique " (§56 à §61), et que " fournir des informations aux personnes concernées avant d’obtenir leur consentement est indispensable afin de leur permettre de prendre des décisions en toute connaissance de cause, de comprendre ce à quoi [elles] consentent et, par exemple, d’exercer leur droit de retirer leur consentement. Si le responsable du traitement ne fournit pas d’informations accessibles, le contrôle utilisateur devient illusoire et le consentement ne constituera pas une base valable pour le traitement " (§ 62).
107. Par ailleurs, l’avis du CEPD précité précise " qu’il incombe aux responsables du traitement, en vertu du principe de responsabilité, d’élaborer et de documenter un processus d’information permettant aux personnes concernées d’avoir une compréhension complète et claire de la valeur, de la portée et des conséquences des différents choix qui s’offrent à elles. " (§145). Le CEPD ajoute que " Les grandes plateformes en ligne devraient veiller à ce que les personnes concernées aient une compréhension claire des activités de traitement et de tout changement les concernant, par exemple lorsqu’une telle plateforme passe à un modèle " consentir ou payer " (§147). Enfin, dans le cadre de la publicité comportementale, le CEPD ajoute qu’il " est important de fournir des informations suffisamment détaillées pour que les personnes concernées puissent comprendre à quels aspects du service elles consentent, tout en conservant la possibilité de ne pas consentir à d’autres. " (§148).
108. Le CEPD précise en outre que lorsque différentes options sont présentées aux utilisateurs, les responsables du traitement doivent veiller à ce que ces derniers comprennent parfaitement ce que chaque option suppose en matière de traitement des données et les conséquences de chacune de ces options. " La clarté des différentes options disponibles devrait également être prise en considération lors de la conception de l’interface, étant donné qu’il y a lieu d’éviter toute forme de conception trompeuse ou manipulatrice conformément au principe de loyauté. " (§81).
109. S’agissant des conséquences de la publicité comportementale ou personnalisée, il ressort de l’avis n° 08/2024 précité, portant sur la validité du consentement dans le cadre des modèles " consentir ou payer " mis en place par les grandes plateformes en ligne adopté par le CEPD, qu’elle " repose sur des données collectées en observant l’activité des utilisateurs au fil du temps (par exemple, à partir des pages qu’ils visitent, du temps qu’ils passent sur une page affichant un produit donné, du nombre de reconnexions à une page, des mentions "j’aime", ou de leur localisation). Dans ces cas, le suivi des utilisateurs s’effectue au moyen de cookies ou d’autres technologies de suivi similaires (par exemple, des modules sociaux ou des pixels). Les utilisateurs peuvent être suivis sur différents sites web par différents acteurs (par exemple, les plateformes ou des courtiers en données). Les données collectées, qui peuvent, dans certains cas, être agrégées avec des données fournies de manière active par l’utilisateur (par exemple, lorsqu’il crée un compte en ligne ou lorsqu’il se connecte sur un site web), ou avec des données hors ligne, permettent aux entreprises de déduire des informations sur les utilisateurs et de tirer des conclusions sur leurs préférences, leurs goûts et leurs intérêts. Plusieurs activités de traitement ont lieu lorsque les responsables du traitement traitent des données à caractère personnel à des fins de publicité comportementale. Il s’agit notamment du
suivi du comportement des personnes concernées, de la collecte de données à caractère personnel et de leur analyse aux fins de la création et de la constitution des profils des utilisateurs, du partage de données à caractère personnel avec des tiers dans le cadre de la création et de la constitution des profils des utilisateurs ou de la mise en relation des annonceurs avec les éditeurs, de la proposition aux personnes concernées de publicités personnalisées sur la base du profil ainsi dressé, ou encore de l’analyse de l’interaction des utilisateurs avec les publicités affichées sur la base de leur profil. " (§20).
110. " C’est pourquoi la publicité comportementale est considérée comme une forme de publicité particulièrement intrusive, dans la mesure où elle peut fournir aux responsables du traitement une vue très détaillée de la vie personnelle des utilisateurs. En outre, comme le CEPD l’a rappelé dans ses lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux, elle présente des risques importants pour les libertés et droits fondamentaux des personnes concernées, y compris la possibilité de discrimination et d’exclusion et la manipulation éventuelle des utilisateurs. " (§21).
111. En l’espèce, la rapporteure relève qu’il ressort des constatations réalisées par la délégation lors des opérations de contrôle sur le site web google.fr que lors de la création d’un compte Google, deux parcours sont présentés à l’utilisateur – intitulés " personnalisation express (1 étape) " et " personnalisation manuelle (5 étapes) " – à l’issue desquels sont déposés des cookies alimentant deux modèles de publicités – générique ou personnalisée.
112. Elle relève qu’à l’occasion du premier contrôle, le mécanisme de recueil du consentement mis en place lors de la création d’un compte Google ne permettait pas aux utilisateurs de refuser le dépôt et/ou la lecture des cookies liés à la personnalisation de la publicité aussi facilement que de les accepter et d’opter pour des cookies alimentant la publicité générique lorsque l’utilisateur choisissait la " personnalisation express (1 étape) ". Elle considère que le consentement ainsi donné ne pouvait pas être qualifié de libre.
113. Elle souligne que ce mécanisme de recueil du consentement, mis en place par les sociétés depuis le 15 décembre 2020, a été modifié en octobre 2023, permettant désormais aux utilisateurs de refuser le dépôt et/ou la lecture de cookies liés à la personnalisation de la publicité aussi facilement que de les accepter depuis le parcours intitulé " personnalisation express (1 étape) " désormais intitulé " sélection express (1 étape) ". Elle considère néanmoins que l’utilisateur n’est toujours pas suffisamment informé de ce que l’inscription de certains cookies, quelle que soit leur finalité, est indissociable de la fourniture des services Google de sorte que le consentement donné, qui n’est pas éclairé, n’est pas valide.