AgentPublic/cnil huggingface dataset:
88. En l’espèce, la formation restreinte relève qu’il ressort d’un document communiqué par la société à la délégation le 2 novembre 2023 concernant notamment les caractéristiques du cookie " cookieId ", que celui-ci a une valeur identifiante, c’est-à-dire qu’il permet d’identifier individuellement chaque utilisateur sur une période de 10 ans. En défense, la société argue que, dans l’appréciation de cette durée, le rapporteur ne tient pas compte de l’existence de mécanismes de purge automatique intégrés dans les navigateurs. Sur ce point, la formation restreinte considère d’abord que la société ne peut faire reposer sur l’utilisateur la charge de paramétrer son navigateur afin qu’il efface les cookies à intervalle régulier. La formation restreinte considère ensuite que les caractéristiques de ce cookie sont particulièrement intrusives pour l’utilisateur, en ce qu’elles permettent de tracer l'utilisateur sur une durée particulièrement longue et outrepassent ainsi ce qui est nécessaire pour déterminer quelle version du site web est plus efficace pour la société. En effet, les cookies de " A/B testing " nécessitent uniquement d’identifier la cohorte (groupe A ou B) à laquelle appartient un utilisateur et cela sur une période très limitée. Ce cookie, au vu de ses caractéristiques, ne peut dès lors pas être considéré comme ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne peut pas non plus être considéré comme strictement
nécessaire à la fourniture d’un service de communication en ligne expressément demandé par l’utilisateur.
89. La formation restreinte observe ensuite que, contrairement à ce que soutient la société, dans sa délibération SAN-2022-027 du 29 décembre 2022, elle n’a pas considéré que les cookies de " A/B testing " déposés par les sociétés étaient exemptés du recueil du consentement. La formation restreinte ne s’est pas prononcée sur ce point, faute de disposer, dans le dossier, des éléments nécessaires relatifs aux caractéristiques de ces cookies, ce qui n’est pas le cas en l’espèce s’agissant du cookie déposé par la société INFINITE STYLES SERVICES CO LTD.
90. La formation restreinte considère donc qu’en déposant le cookie " cookieId " sur le terminal de l’utilisateur, sans recueillir préalablement son consentement, la société a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés.
91. Au vu de l’ensemble de ce qui précède, la formation restreinte considère, qu’au jour du contrôle, la société déposait 10 cookies sur le terminal de l’utilisateur, sans recueillir préalablement son consentement, ce qui constitue un manquement à l’article 82 de la loi Informatique et Libertés modifiée.
92. Au regard des mesures prises par la société au cours de la procédure, la formation restreinte note qu’elle s’est mise en conformité sur ce point en cessant de déposer les cookies en cause sans recueil préalable du consentement de l’utilisateur.
2.  Sur l’obligation de recueillir un consentement de l’utilisateur libre et éclairé
93. En droit, pour être valable, le consentement de l’internaute doit répondre aux caractéristiques requises par le RGPD, la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 renvoyant en effet à la définition du consentement telle que prévue au RGPD.
94. La formation restreinte souligne que les travaux conduits par la Commission sur les pratiques mises en œuvre en matière de cookies s’agissant des bannières de recueil du consentement peuvent utilement servir à apprécier de manière générale les conditions de recueil d’un consentement libre, univoque, spécifique et éclairé. A cet égard, la formation restreinte observe que la délibération n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives aux " cookies et autres traceurs " rappelle expressément que le consentement exigé par l’article 82 de la loi Informatique et Libertés renvoie à la définition et aux conditions prévues aux articles 4.11 et 7 du RGPD (§ 5 et 6).
95. L’article 4, paragraphe 11 du RGPD définit le consentement comme " toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ".
96. Le considérant 32 du RGPD prévoit également que " le consentement devrait être donné par un acte positif clair par lequel la personne concernée manifeste de façon libre, spécifique, éclairée et univoque son accord au traitement des données à caractère personnel la concernant […] ".
97. S’agissant du caractère éclairé du consentement, le considérant 42 du RGPD précise que " pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l'identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel ". S’agissant de son caractère libre, il indique que " le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ".
98. En vertu de ces dispositions combinées, il incombe au responsable du traitement d’informer les personnes concernées et de mettre en œuvre un mécanisme valable de recueil du consentement des personnes à l’inscription d’informations sur leur équipement terminal (cookies) et à l’accès à celles-ci.
2.1 Sur le premier niveau d’information fournie aux utilisateurs du site web " shein.com " : le bandeau cookies et la fenêtre surgissante " Bienvenue sur le site France "
99. Afin d’accompagner les responsables de traitement sur la manière d’assurer le caractère éclairé du consentement, la Commission a formulé des recommandations dans sa délibération n° 2020-092 du 17 septembre 2020. Il y est notamment indiqué au paragraphe 10 que " de manière générale, afin d’être compréhensible et de ne pas induire en erreur les utilisateurs, la Commission recommande aux organismes concernés de s’assurer que les utilisateurs prennent la pleine mesure des options qui s’offrent à eux, notamment au travers du design choisi et de l’information délivrée ". En outre, au paragraphe 13, il est proposé que " chaque finalité soit mise en exergue dans un intitulé court et mis en évidence, accompagné d’un bref descriptif " et elle recommande au paragraphe 14 " de faire figurer, en complément de la liste des finalités présentées sur le premier écran, une description plus détaillée de ces finalités, de manière aisément accessible depuis l’interface de recueil du consentement. Cette information peut, par exemple, être affichée sous un bouton de déroulement que l’internaute peut activer directement au premier niveau d’information. Elle peut également être rendue disponible en cliquant sur un lien hypertexte présent au premier niveau d’information ".
100. S’agissant du caractère libre du consentement, la CNIL indique aux paragraphes 30 et 31 dans la délibération susvisée que " le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité. […] Ainsi, la Commission recommande fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d'exprimer un consentement ".
101. Le rapporteur soutient, qu’au jour du contrôle en ligne, la société présentait aux utilisateurs de son site web " shein.com " deux modes de recueil du consentement au dépôt et à la lecture de cookies sur leurs terminaux. Elle faisait coexister, d’une part, un bandeau cookies, dont les mentions d’information étaient incomplètes et imprécises et, d’autre part, une fenêtre surgissante publicitaire, qui comportait une mention d’information à l’égard des cookies déposés sans préciser leurs finalités et qui ne proposait pas de les refuser. Il considère donc, qu’au jour du contrôle en ligne, la société ne recueillait pas le consentement libre et éclairé de l’utilisateur préalablement au dépôt et à la lecture de cookies sur son terminal. Il considère également que le fait de proposer à l’utilisateur deux interfaces de recueil du consentement (bandeau et fenêtre surgissante) est de nature à créer la confusion chez ce dernier. Le rapporteur note que la société s’est mise en conformité sur ce point en cours de procédure.
102. En défense, la société indique que la mention d’information relative aux cookies présente sur la fenêtre surgissante résulte d’une erreur technique, qu’elle a corrigée en cours de procédure. Elle précise que l’interaction de l’utilisateur avec cette fenêtre n’a pas pour conséquence le dépôt de nouveaux cookies sur son terminal, c’est-à-dire de cookies autres que ceux qui ont été déposés lors de l’accès au site web " shein.com ". Elle soutient que seul son bandeau cookies constitue un mode de recueil du consentement et considère, qu’au jour du contrôle, celui-ci était conforme à ses obligations dès lors que l’information selon laquelle les cookies déposés visent à " offrir un contenu taillé sur mesure en fonction de vos intérêts " est compréhensible pour l’utilisateur d’un site de prêt-à-porter. Bien qu’elle ne partage pas la position du rapporteur, la société indique avoir toutefois précisé les finalités poursuivies par les cookies déposés sur le terminal de l’utilisateur.
103. En premier lieu, la formation restreinte relève qu’il ressort des pièces du dossier que lors de l’arrivée sur le site web " shein.com ", deux interfaces comportant des informations relatives aux cookies et des boutons ou case à cocher étaient effectivement présentées à l’utilisateur.
104. S’agissant du bandeau cookie figurant en bas à gauche de la page d’accueil, celui-ci comporte une mention d’information sur les cookies accompagnée de trois boutons " Paramètres des cookies ", " Tout refuser " et " Accepter ". Il n’est pas contesté que ce bandeau constitue une modalité de recueil du consentement.
105. S’agissant ensuite de la fenêtre surgissante, celle-ci est intitulée " Bienvenue sur le site France " et propose une offre de " livraison gratuite sur tout pour les nouveaux clients " comportant une mention d’information sur les cookies, accompagnée d’un bouton " J’accepte ". La formation restreinte observe que, contrairement à ce que soutient la société, il ressort des pièces du dossier que lorsque l’utilisateur clique sur le bouton " J’accepte ", qui figure sur cette fenêtre, des cookies de plafonnement publicitaire sont déposés. Compte tenu de ce que cette interface invite expressément l’utilisateur à accepter le dépôt de cookie et qu’un clic sur le bouton " J’accepte " entraine le dépôt de cookies, la formation restreinte considère qu’elle constitue une modalité de recueil du consentement, contrairement à ce que soutient la société.
106. En deuxième lieu, la formation restreinte rappelle que l’ensemble des finalités poursuivies par les cookies doit être porté à la connaissance de l’utilisateur, avant de recueillir son consentement, dès le premier niveau d’information (délibération n° 2020-092 du 17 septembre 2020 paragraphes 13 et 14). Elle rappelle également avoir déjà sanctionné à plusieurs reprises des organismes qui ne fournissaient pas une information complète s’agissant des finalités poursuivies par les opérations de dépôt et de lecture des cookies (délibération SAN-2022-027 du 29 décembre 2022, paragraphes 82 à 85 ; délibération SAN-2020-013 du 7 décembre 2020, paragraphes 92 à 94).
107. En l’espèce, la formation restreinte relève, s’agissant du bandeau cookie, que la mention d’information présente indique qu’" afin d’améliorer votre expérience, nous utilisons des cookies pour enregistrer les détails de connexion, collecter des statistiques et vous offrir un contenu taillé sur mesure en fonction de vos intérêts. Cliquez sur " Accepter pour accepter les cookies, ou cliquez sur " Paramètres des cookies " pour choisir quels cookies accepter sur le site. Cliquez ici pour voir notre Politique de confidentialité ".
108. La formation restreinte considère que, bien que la formulation " offrir un contenu taillé sur mesure en fonction de vos intérêts " fasse référence au monde du prêt-à-porter, comme le soulève la société, celle-ci ne permet pas pour autant, sans plus de précisions, d’éclairer l’utilisateur sur le fait que des cookies publicitaires seront déposés sur son terminal en cas d’acceptation des cookies, notamment afin de suivre sa navigation entre plusieurs sites web et de pouvoir ainsi lui proposer de la publicité personnalisée sur la base de sa navigation.
109. La formation restreinte considère qu’en ne fournissant pas des informations précises sur les finalités poursuivies par les cookies publicitaires et de plafonnement publicitaire sur le bandeau cookies, la société ne recueillait pas, au jour du contrôle, le consentement éclairé de l’utilisateur lorsque celui-ci acceptait le dépôt de cookies sur son terminal, en méconnaissance des dispositions applicables. Elle relève cependant que la société a modifié la mention d’information présente sur son bandeau cookies en précisant les finalités poursuivies par les cookies déposés sur le terminal de l’utilisateur lorsque celui-ci accepte l’écriture et/ou la lecture de cookies.
110. En troisième lieu, s’agissant de la fenêtre surgissante, la formation restreinte, relève que la mention d’information présente sur cette fenêtre indique " Nous avons recours aux cookies afin de vous fournir une meilleure expérience d’achat. En continuant à utiliser nos services ou en créant un compte sur notre site, vous acceptez notre Politique de Confidentialité et notre Politique d’utilisation des cookies ".
111. La formation restreinte considère que cette mention d’information ne comportait pas, au jour du contrôle, l’ensemble des informations obligatoires pour recueillir un consentement éclairé dès lors qu’elle ne fournissait pas aux utilisateurs des informations relatives aux finalités des cookies déposés sur leurs terminaux. Elle relève que cette mention est particulièrement vague et qu’elle ne permet ainsi pas à l’utilisateur de comprendre si l’amélioration de son expérience d’achat se traduira, par exemple, par le recours à des cookies permettant de garder en mémoire le contenu d’un panier d’achat ou la langue choisie sur le site, et/ou s’il s’agit de cookies permettant de lui afficher des publicités personnalisées. La mention en cause ne présentant pas de manière suffisamment précise les finalités poursuivies par les cookies, le consentement sollicité ne saurait dès lors être considéré comme éclairé.
112. La formation restreinte considère que le consentement recueilli par la société via cette fenêtre n’est pas libre pour deux raisons. D’une part, l’acceptation inconditionnelle de l’ensemble des cookies est en effet présentée par la société comme étant la seule option des utilisateurs s’ils souhaitent poursuivre la navigation sur le site " shein.com ". D’autre part, la fenêtre ne fait pas état des moyens dont disposent les utilisateurs pour refuser le dépôt de cookies. La formation restreinte relève notamment la présence d’un bouton permettant d’accepter immédiatement les cookies mais l’absence d’un moyen analogue pour pouvoir les refuser aussi facilement et en un seul clic. La formation restreinte rappelle avoir déjà sanctionné un organisme qui ne fournissait pas aux utilisateurs un moyen, auquel la FR attache une grande importance, pour s’opposer au dépôt de cookies soumis à consentement (délibération SAN-2020-013 du 7 décembre 2020, paragraphe 95).
113. Au vu de ce qui précède, la formation restreinte considère, qu’au jour du contrôle, la fenêtre surgissante ne permettait pas un recueil valable du consentement des utilisateurs avant de déposer des cookies sur leur terminal. Elle note en revanche que la société a pris des mesures au cours de la procédure pour se mettre en conformité sur ce point, la fenêtre surgissante ne permettant plus à la société de collecter le consentement de l’utilisateur au dépôt de cookies sur son terminal et la mention d’information ayant été supprimée.
114. En dernier lieu, la formation restreinte considère que la coexistence de plusieurs modes de recueil du consentement lors de l’accès au site web " shein.com " constitue une surcharge informationnelle pour l’utilisateur, de nature à influencer son choix en matière de cookies, sans que celui-ci en maîtrise la portée. En effet, la formation restreinte rappelle qu’il n’existe aucun bouton permettant à l’utilisateur de refuser les cookies et que lorsque l’utilisateur clique sur le seul bouton disponible " J’accepte ", puis interagit avec le bandeau cookie, il aura tendance à répéter son choix en cliquant sur le bouton " Accepter ".
115. Au vu de ce qui précède, la formation restreinte considère qu’au jour du contrôle, les conditions de recueil du consentement mis en œuvre par la société sur le site " shein.com " n’étaient pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés, telles qu’éclairées par l’article 4 paragraphe 11 du RGPD et les considérants 32 et 42 sur le caractère libre et éclairé du consentement.
2.2 Sur le deuxième niveau d’information fournie aux utilisateurs du site web " shein.com " : la plateforme de gestion du consentement
116. En droit, le considérant 42 du RGPD précise notamment que " pour que le consentement soit éclairé, la personne concernée devrait connaître au moins l'identité du responsable du traitement et les finalités du traitement auquel sont destinées les données à caractère personnel ".
117. La Commission a formulé des recommandations dans sa délibération n° 2020-092 du 17 septembre 2020. Il y est notamment indiqué aux paragraphes 18 à 21 que " les utilisateurs doivent pouvoir prendre connaissance de l’identité de l’ensemble des responsables du ou des traitements, y compris les responsables de traitement conjoints, avant de donner leur consentement ou de refuser. Ainsi, comme explicité dans les lignes directrices du 17 septembre 2020, la liste exhaustive et régulièrement mise à jour des responsables du ou des traitements doit être mise à la disposition des utilisateurs au moment du recueil de leur consentement. En pratique, afin de concilier les exigences de clarté et de concision des informations avec la nécessité d’identifier l’ensemble des responsables du ou des traitements, les informations spécifiques sur ces entités (identité, lien vers leur politique de traitement des données à caractère personnel), régulièrement mises à jour, peuvent par exemple être fournies à un second niveau d’information. Elles peuvent ainsi être mises à disposition depuis le premier niveau via, par exemple, un lien hypertexte ou un bouton accessible depuis ce niveau. La Commission recommande en outre d’utiliser une dénomination descriptive et utilisant des termes clairs, telle que " liste des sociétés utilisant des traceurs sur notre site / application ". Enfin, la Commission recommande qu’une telle liste soit également mise à la disposition des utilisateurs de manière
permanente, à un endroit aisément accessible à tout moment sur le site web ou l’application mobile. […] Afin d’accroître la lecture de l’information par les utilisateurs, le nombre de responsables du ou des traitements impliqués pourrait être indiqué au premier niveau d’information. De même, le rôle des responsables du ou des traitements pourrait être mis en évidence en les regroupant par catégories, lesquelles seraient définies en fonction de leur activité et de la finalité des traceurs utilisés ".
118. Le rapporteur considère, qu’au jour du contrôle en ligne, le consentement de l’utilisateur n’était pas recueilli de manière éclairée dès lors que le second niveau d’information qui lui était fourni ne mentionnait pas l’identité des responsables de traitement déposant des cookies " tiers " sur le terminal des utilisateurs. Le rapporteur relève que la société s’est toutefois mise en conformité en cours de procédure.
119. En défense, la société ne conteste pas le caractère incomplet, au jour du contrôle, de la mention d’information fournie au deuxième niveau et rappelle s’être mise en conformité en cours de procédure.
120. La formation restreinte relève qu’après avoir cliqué sur le bouton " Paramètres des cookies " présent sur le bandeau cookies, la plateforme de gestion du consentement présente ensuite les différents types de cookies qui peuvent notamment être déposés par des tiers, tels que les cookies de performance ou les cookies de publicité ciblée. Or, aucune information n’est délivrée quant à l’identité de ces tiers, ce qui ne permet pas d’éclairer suffisamment l’utilisateur avant qu’il décide de consentir ou non, sur la portée du consentement donné.
121. Il résulte de ce qui précède qu’en ne mentionnant pas l’identité des responsables du traitement déposant des cookies publicitaires tiers sur le terminal de l’utilisateur au moment où son consentement est sollicité, celui-ci n’est pas mis en mesure de consentir de manière éclairée, ce qui constitue un manquement à l’article 82 de la loi Informatique et Libertés modifiée, éclairé par l’article 4 paragraphe 11 du RGPD et son considérant 42.
122. La formation restreinte relève que la société a cependant pris des mesures de mise en conformité sur ce point au cours de la procédure.
3.  Sur l’obligation d’assurer l’effectivité du refus de l’utilisateur au dépôt et à la lecture de cookies sur son terminal 
123. Le rapporteur relève que, lors du contrôle en ligne, la délégation a constaté que la société procède à des opérations de lecture et d’écriture d’informations dans le terminal de l’utilisateur après que celui-ci a cliqué sur le bouton " Tout refuser " présent sur le bandeau cookies et continué sa navigation sur le site. Il note que la société s’est mise en conformité en cours de procédure.
124. En défense, la société soutient que le refus de l’utilisateur avait uniquement pour conséquence, au jour du contrôle, d’entrainer le dépôt de cookies de plafonnement publicitaire et du cookie de mesure d’audience " cookieId ", qui ne sont pas soumis au consentement. Elle considère donc que cette branche du manquement n’est pas caractérisée.
125. La formation restreinte relève que dans le scénario suivi par la délégation de contrôle dédié au refus des cookies, cette dernière s’est rendue sur le site web " shein.com ", a ensuite cliqué sur le bouton " Tout refuser ", a constaté la présence de 32 cookies sur son terminal, puis a fermé les fenêtres surgissantes intitulées " Vous avez reçu les réductions suivantes " et " Se connecter avec Google " et a constaté, malgré le refus préalablement exprimé, l’inscription des cookies de plafonnement publicitaire " hideCouponId_time ", " hideCouponWithRequest ", " hideCoupon ". La formation restreinte rappelle que ces cookies ne sont pas exemptés du recueil du consentement pour les raisons exprimées aux paragraphes 82 à 86. La formation restreinte relève que la délégation a également constaté, à la suite de l’expression de son refus à l’écriture et la lecture de cookies sur son terminal, que certains cookies de plafonnement publicitaire, préalablement déposés sur son terminal, continuaient d’être lus.