AgentPublic/cnil huggingface dataset:
Si cette règle de détermination de la loi nationale applicable au sein de l’Union n’a plus lieu d’être pour l’application des règles du RGPD, qui a remplacé la directive 95/46/CE et s’applique uniformément sur tout le territoire de l’Union, la formation restreinte relève que le législateur français a maintenu ces deux critères d’application territoriale pour les règles spécifiques contenues dans la loi " Informatique et Libertés ", notamment celles qui transposent la directive " ePrivacy ". Il en résulte, comme il sera développé infra, que la jurisprudence de la CJUE sur l’application de l’article 4 de la directive 95/46/CE demeure pertinente pour éclairer la portée à donner à ces deux critères.
En premier lieu, sur l’existence d’un établissement de [V] sur le territoire français, la formation restreinte rappelle que, de façon constante, la CJUE a considéré que la notion " dans le cadre des activités d’un établissement " ne saurait recevoir une interprétation restrictive en droit de la protection des données et, que pour savoir si un responsable de traitement disposait d’un " établissement " il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question (cf. notamment, CJUE, 1er octobre 2015, Weltimmo, C‑230/14, pts. 25 à 31).
La Cour a notamment précisé que " la notion d’"établissement ", au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable " (idem, pt. 30), le critère de stabilité de l’installation étant examiné au regard de la présence de " moyens humains et techniques nécessaires à la fourniture de services concrets en question " (idem, pt. 31). La Cour a estimé, en outre, qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).
En l’occurrence, la société [Z], immatriculée en France depuis le 3 février 2011, est le siège de la filiale française de la société [Y] Elle dispose de locaux situés à Paris et emploie environ […] personnes. Il est précisé dans les statuts de cette société, mis à jour et déposés auprès du greffe du tribunal de commerce de Paris le 9 juillet 2020, qu’elle a notamment pour objet " toute activité relative, directement ou indirectement, à l'achat, la vente ou l'intermédiation d'espaces publicitaires sur la Plateforme de réseau social en ligne [V] ou tout autre plateforme opérée par le groupe [W], ou tout autre accord commercial, dans son sens le plus étendu, relatif à l'espace publicitaire en ligne et notamment, sans que cette liste soit limitative, l'offre d’achat, de vente ou de fournir de l'espace publicitaire en ligne, la négociation de contrats concernant l'espace publicitaire en ligne, la mise en œuvre de stratégies marketing relatives à des offres de vente d'espaces publicitaires et tout autre service de publicité pouvant être fournis à des annonceurs, des agences publicitaires ou tout autre tiers ".
En ce qui concerne les liens de cette société avec la société [X], la formation restreinte relève qu’elles sont toutes deux des filiales de la maison-mère du groupe, la société [Y], et qu’elles sont notamment liées l’une à l’autre par un contrat de revente d’espaces publicitaires et par un contrat de prestation de services, en vigueur depuis le 1er juillet 2018.
A cet égard, la formation restreinte remarque que si, dans sa réponse du 21 mai 2021, la société [Z] a déclaré que " par principe, [X] est la société contractante pour les annonceurs et partenaires en France souhaitant utiliser les produits et services publicitaires de [V] " (…) pour la création, la soumission ou la diffusion de publicités ou toute autre activité ou tout autre contenu commercial ou sponsorisé " (…) ", elle affirme également très clairement que son rôle consiste en " la fourniture d’un support local aux annonceurs et partenaires en France et à la passation des commandes et la facturation de certains clients ".
Notamment, la formation restreinte relève qu’au titre du contrat de prestation de services, la société [Z] fournit à titre non exclusif de nombreux services à la société [X], dont des services généraux, administratifs, de ressources humaines, comptables, juridiques, politiques, marketing et de gestion des partenariats.
Dès lors, au regard de la nature de ces services, la formation restreinte considère que la société [Z] doit être regardée comme l’établissement en France de la société [X].
En second lieu, sur l’existence d’un traitement effectué " dans le cadre des activités " de la société [Z], la formation restreinte rappelle que dans ses décisions Wirtschaftsakademie (CJUE, grande chambre, 5 juin 2018, Wirtschaftsakademie, C-210/16, pts. 56 à 60) et [...] (CJUE, grande chambre, 15 juin 2021, [...], C-645/19, pts. 92 à 95), qui s’inscrivent dans la lignée de la jurisprudence Google Spain du 13 mai 2014 relative aux activités du moteur de recherche Google en Espagne (CJUE, grande chambre, 13 mai 2014, Google Spain, C-131/12, pt. 55), la Cour de justice a considéré que le traitement consistant en la collecte de données à caractère personnel par l’intermédiaire de cookies déposés dans les terminaux des utilisateurs visitant, en Allemagne et en Belgique, des pages hébergées sur le réseau social [V] était respectivement effectué " dans le cadre des activités " des sociétés [...] et [...], établissements allemand et belge du groupe [...], dans la mesure où ces établissements sont destinés à assurer, dans leur pays respectif, la promotion et la vente des espaces publicitaires proposés par ce réseau social, qui servent à rentabiliser le service offert par [...].
Ainsi, dans l’arrêt [...], la Cour de justice a relevé " d’une part, un réseau social tel que [...] génère une partie substantielle de ses revenus grâce, notamment, à la publicité qui y est diffusée et que l’activité exercée par l’établissement situé en Belgique est destinée à assurer, dans cet État membre, même si ce n’est que de manière accessoire, la promotion et la vente d’espaces publicitaires qui servent à rentabiliser les services [...]. D’autre part, l’activité exercée à titre principal par [...], consistant à entretenir des relations avec les institutions de l’Union et à constituer un point de contact avec ces dernières, vise notamment à établir la politique de traitement des données à caractère personnel par [...] Ireland. Dans ces conditions, les activités de l’établissement du groupe [...] situé en Belgique doivent être considérées comme étant indissociablement liées au traitement des données à caractère personnel en cause au principal, dont [...] Ireland est le responsable s’agissant du territoire de l’Union " (pts. 94-95).
Même si ces trois arrêts concernaient plus spécialement les traitements subséquents mis en œuvre à partir des cookies déposés dans les terminaux des utilisateurs – ce qui justifiait l’application de la directive 95/46/CE pour les affaires Google Spain et Wirtschaftsakademie et du RGPD pour l’affaire [...] – cette jurisprudence demeure pertinente pour éclairer la portée à donner à la notion de traitement effectué " dans le cadre des activités " d’un établissement, le législateur français l’ayant reprise, lors de la transposition de la directive " ePrivacy ", pour fonder la compétence territoriale de la CNIL s’agissant des traitements relevant de cette directive.
En l’espèce, la formation restreinte relève que les analyses conduites en Allemagne et en Belgique par les autorités de protection des données allemande et belge s’agissant des sociétés […] et […], et confirmées par la CJUE, peuvent être reproduites en France par la CNIL s’agissant de la société [Z].
En effet, il ressort de la réponse de la société [Z] du 21 mai 2021 que ses activités consistent à fournir des " services de support publicitaire à des annonceurs et partenaires en France pour le compte de [X] ". Plus précisément, " elle informe les annonceurs et partenaires en France sur l'utilisation qu'ils peuvent faire des services publicitaires de [V] proposés par [X]. A titre d’illustration, [Z] fournit des conseils sur la manière d’utiliser les outils et les fonctionnalités des produits [V] afin d'optimiser les budgets publicitaires ou d'améliorer la qualité des campagnes publicitaires ". Enfin, " depuis le 1er juillet 2018, [elle] interagit également avec certains annonceurs et partenaires en France, pour ce qui concerne la passation de leurs commandes et la facturation liées à la revente d’espaces publicitaires à leur bénéfice ".
En conséquence, la formation restreinte considère que le traitement en cause – consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du réseau social [V], notamment à des fins publicitaires – est effectué " dans le cadre des activités de [Z] ", société qui est " l’établissement de [V] sur le territoire français " et participe, à ce titre, à la promotion et à la commercialisation des produits [V] et de leurs solutions publicitaires en France. Les deux critères prévus à l’article 3, paragraphe I, de la loi " Informatique et Libertés " étant réunis, le traitement est soumis au droit français.
La formation restreinte souligne que l’application du droit français ne concerne que les opérations de lecture et/ou d’écriture qui sont effectuées sur le territoire français (l’article 4 de la directive 95/46/CE précisait d’ailleurs que la loi de l’Etat membre ne s’appliquait qu’aux activités de l’établissement " sur le territoire de l’Etat membre ").
Elle relève enfin qu’il s’agit d’une position constante de sa part depuis l’intervention de la jurisprudence Google Spain en 2014 (cf. notamment les décisions CNIL, formation restreinte, 27 avril 2017, SAN-2017-006 ; CNIL, formation restreinte, 19 décembre 2018, SAN-2018-011 ; CNIL, formation restreinte, 7 décembre 2021, SAN-2020-012 et CNIL, formation restreinte, 7 décembre 2021, SAN-2020-013).
Il résulte de ce qui précède que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction concernant le traitement en cause qui relève du champ d’application de la directive " ePrivacy ".
B. Sur le grief tiré de l’illégalité de la présente procédure de sanction
La société dénonce le fait de n’avoir pas bénéficié d’une mise en demeure préalable, à l’instar de la soixantaine d’acteurs ayant fait l’objet de cette mesure correctrice entre mai et juillet 2021 pour des faits similaires, et invoque l’atteinte au principe d’égalité devant la loi qui en résulterait.
Elle soutient que ce principe serait également méconnu en raison de la sévérité des mesures correctrices proposées par la rapporteure en comparaison des récentes décisions de la formation restreinte prononcées à l’encontre d’acteurs importants pour non-respect des dispositions de l’article 82 de la loi " Informatique et Libertés " (cf. décisions CNIL, formation restreinte, 18 novembre 2020, SAN-2020-009 ; 7 décembre 2020, SAN-2020-012 et SAN-2020-013 ; 27 juillet 2021, SAN-2021-013).
S’agissant d’abord du défaut de mise en demeure préalable, la formation restreinte relève qu’en vertu de l’article 20, paragraphe III, de la loi " Informatique et Libertés " l’orientation d’un dossier vers une procédure de sanction appartient au seul président de la CNIL, de sorte que la formation restreinte, n’a pas à se prononcer sur le principe de sa saisine.
Elle rappelle également qu’il résulte de ces dispositions que le président de la CNIL n’est pas tenu d’adresser une mise en demeure à un responsable de traitement avant d’engager une procédure de sanction à son encontre. Elle ajoute que la possibilité d’engager directement une procédure de sanction a été confirmée par le Conseil d’État (voir, notamment, CE, 4 nov. 2020, n° 433311, pt. 3).
Au demeurant, la formation restreinte remarque qu’une mise en demeure préalable se justifiait d’autant moins en l’espèce que la société a déjà, à la suite d’une mise en demeure préalable, fait l’objet d’une sanction de la part de la formation restreinte pour des manquements relatifs aux cookies en 2017. La société se devait donc d’être à la fois particulièrement vigilante quant au respect de ses obligations en matière de cookies et également attentive aux évolutions de la réglementation en la matière, notamment à la suite du renforcement des conditions du consentement consécutif à l’entrée en application du RGPD.
La formation restreinte relève, enfin, que la CNIL a particulièrement communiqué sur ces évolutions, notamment en définissant un plan d’action relatif aux cookies dont les modalités ont été détaillées dès 2019 dans un communiqué de presse diffusé sur son site web le 28 juin 2019. La CNIL y précisait notamment qu’elle laisserait une " période transitoire " aux responsables de traitement afin qu’ils disposent du temps nécessaire à la mise en conformité de leurs opérations de lecture et/ou d’écriture aux nouvelles exigences consécutives à l’entrée en application du RGPD et qui seraient consacrées dans la nouvelle recommandation qui allait être rédigée. Elle soulignait déjà qu’elle procéderait à des vérifications du respect de cette future recommandation dans les six mois suivant son adoption définitive. Prorogée une fois, cette période d’adaptation est arrivée à son terme le 1er avril 2021.
S’agissant, ensuite, du montant de l’amende proposé par la rapporteure, celui-ci n’a pas d’incidence sur la légalité de la procédure.
En conséquence, la formation restreinte estime que le grief tiré de l’illégalité de la procédure doit être écarté.
C. Sur le manquement aux obligations en matière de cookies
Aux termes de l’article 82 de la loi " Informatique et Libertés ", qui transpose en droit français les dispositions de l’article 5, paragraphe 3, de la directive " ePrivacy ", " tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s'y opposer
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement (…) ".
En vertu de l’article 2, paragraphe f) de la directive " ePrivacy ", le consentement doit s’entendre au sens de " consentement de la personne concernée " figurant dans la directive 95/46/CE. Aux termes de l’article 94 du RGPD " les références faites à la directive abrogée doivent s’entendre comme faites au [RGPD] ".
Au titre de l’article 4, paragraphe 11, du RGPD, pour être valablement recueilli, le consentement doit être une " manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair ".
La portée de cet article est éclairée par le considérant 42 du RGPD, selon lequel " le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ".
En l’espèce, la délégation a constaté dans le cadre du contrôle en ligne du 8 avril 2021 que, lorsqu’un utilisateur se rend sur le réseau social [V], une fenêtre surgissante dont le titre est " Accepter les cookies de [V] dans ce navigateur " apparaît et, qu’au bas de cette fenêtre, figurent deux boutons intitulés " Gérer les paramètres de données " et " Tout accepter ". Il a également été constaté qu’à ce stade aucun cookie n’était déposé dans le terminal de l’utilisateur et que ce dernier était obligé de cliquer sur l’un de ces deux boutons pour pouvoir poursuivre sa navigation sur le réseau social.
Ainsi, lorsque l’utilisateur clique sur le bouton " Tout accepter " figurant au bas de cette première fenêtre et donne par cette action son consentement à la lecture et/ou à l’écriture d’informations dans son terminal, la fenêtre disparaît, ce qui lui permet de poursuivre la navigation sur le réseau social.
Lorsque l’utilisateur clique sur le bouton " Gérer les paramètres de données ", une nouvelle fenêtre surgissante apparaît, comprenant les deux finalités principales poursuivies par les cookies soumis à consentement – la publicité personnalisée effectuée par [V] et la publicité personnalisée effectuée par des tiers – et à côté desquelles se trouvent des boutons glissants, désactivés par défaut.
La délégation a constaté que lorsque l’utilisateur fait défiler cette seconde fenêtre, laisse les deux boutons glissants désactivés, puis clique sur le bouton " Accepter les cookies " figurant au bas de cette fenêtre, cette dernière disparaît, ce qui lui permet de poursuivre sa navigation sur le réseau social sans que des cookies publicitaires aient été déposés dans son terminal.
Au regard de ces constatations, la rapporteure estime que la société a commis un manquement à l’article 82 de la loi " Informatique et Libertés ", tel qu’éclairé par les exigences renforcées en matière de consentement posées par le RGPD, dès lors qu’elle ne met pas à disposition des utilisateurs résidant en France, sur le site web " [V].com ", un moyen de consentir librement en refusant les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage. La rapporteure estime, en outre, que l’information fournie à l’utilisateur ne lui permet par ailleurs pas de comprendre clairement qu’il peut refuser les cookies.
Elle relève également à titre d’éclairage qu’aux termes de ses lignes directrices 5/2020 sur le consentement au sens du Règlement (UE) 2016/679, adoptées le 4 mai 2020, le CEPD a rappelé que " l’adjectif " libre " implique un choix et un contrôle réel pour les personnes concernées " (§13).
De même, dans le cadre de sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux " cookies et autres traceurs ", la Commission a considéré, compte tenu des textes applicables précités, que " le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité ".
La société fait valoir que ni la directive " ePrivacy ", ni sa transposition en droit français à l’article 82 de la loi " Informatique et Libertés " ne prévoient la règle selon laquelle il doit être aussi facile de refuser les cookies que de les accepter. Elle ajoute que cette règle n’est pas non plus prévue par le RGPD, dont l’article 7, paragraphe 3, n’introduit qu’une obligation relative au retrait du consentement, qui ne s’étend pas au refus initial de consentir aux cookies.
Elle avance que les lignes directrices et la recommandation du 17 septembre 2020 de la CNIL n’ont pas valeur impérative et ne renvoient en tout état de cause à aucune disposition contraignante du RGPD ou de la directive " ePrivacy " lorsqu’elles évoquent cette règle qui, dans ces deux instruments de la CNIL, figure d’ailleurs sous des titres relatifs au refus du consentement et non à la liberté du consentement.
Enfin, elle soutient que son parcours informationnel est conforme aux règles applicables dès lors qu’elle fournit bien, dès la première fenêtre, une information relative au paramétrage des cookies et qu’un utilisateur distrait parvenu à la seconde fenêtre permettant ce paramétrage, qui cliquerait sur le bouton " Accepter les cookies " figurant au bas de cette seconde fenêtre, ne verrait aucun cookie publicitaire déposé dans son terminal.
En premier lieu, en ce qui concerne les modalités du refus, la formation restreinte renvoie aux dispositions rappelées aux points 41 à 43 et aux points 82 et suivants de la présente délibération. Elle estime que, pour garantir la liberté du consentement, il devrait en l’espèce être aussi facile de refuser les cookies que de les accepter. Elle souligne que le CEPD éclaire ce point dans ses lignes directrices sur le consentement adoptées le 4 mai 2020 en précisant que " l’adjectif " libre " implique un choix et un contrôle réel pour les personnes concernées ".
En appliquant cette exigence de liberté du consentement aux cookies, elle estime que rendre le mécanisme de refus plus complexe que celui permettant de les accepter, par exemple en reléguant au sein d’une deuxième fenêtre le bouton permettant de les refuser, revient généralement, dans le contexte de la navigation sur le web, en réalité à altérer la liberté de choix des utilisateurs en les incitant à privilégier l’acceptation de ces cookies plutôt que leur refus.
Elle relève que cette conclusion est notamment corroborée par une étude universitaire intitulée " Dark Patterns after the GDPR: Scraping Consent Pop-ups and Demonstrating their Influence " (" Les ‘dark patterns’ au temps du RGPD : récupération des fenêtres de consentement et démonstration de leur influence ") conduite en 2020 à partir de différents bandeaux cookies proposés à un panel d’utilisateurs. Dans cette étude, des chercheurs provenant notamment des universités de Cambridge et du MIT ont démontré que 93,1% des internautes confrontés à des bandeaux cookies s’arrêtent au premier niveau et que seule une faible minorité d’entre eux vont au second niveau pour personnaliser ou refuser. Cette étude démontrait également que le fait de reléguer le bouton du refus au second niveau augmentait en moyenne de 23,1 points de pourcentage le taux de consentement aux cookies.
Elle rappelle également que, pour tenir compte de l’évolution induite par l’entrée en application du RGPD et notamment pour éclairer la portée à donner à la règle contestée dans la présente procédure, la CNIL a fait évoluer sa délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs (ci-après " la recommandation du 5 décembre 2013 ").
Cette évolution s’est traduite d’abord par l’adoption de la délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l'application de l'article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d'un utilisateur (notamment aux cookies et autres traceurs) (ci-après " les lignes directrices du 4 juillet 2019), qui prévoyait déjà en son article 2, " qu’il doit être aussi facile de refuser ou de retirer son consentement que de le donner ", puis par celle des lignes directrices et la recommandation du 17 septembre 2020, qui ont respectivement abrogé les lignes directrices du 4 juillet 2019 et la recommandation du 5 décembre 2013.
La formation restreinte souligne que les deux instruments adoptés en 2020 visent à interpréter les dispositions législatives et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent, sans toutefois prévoir de nouvelles obligations légales. Elle relève que les lignes directrices du 17 septembre 2020 précisent qu’elles " ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage des témoins de connexion (ci-après " cookies ") ".
Elle remarque que l’article 2 des lignes directrices du 17 septembre 2020 et l’article 2.4 de la recommandation du 17 septembre 2020 sont très claires, cette dernière rappelant que " le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité ".