AgentPublic/cnil huggingface dataset:
47. La formation restreinte relève que le fait de réaliser plusieurs contrôles sur le site [...].fr ne saurait constituer en soi une atteinte aux droits de la défense. La formation restreinte relève ensuite que la rapporteure indique dans ses écritures que ces contrôles en ligne ont été effectués pour vérifier certains des éléments avancés par la société. En outre, la formation restreinte considère que les contrôles n’ont porté que sur des éléments dont la société est censée avoir la pleine connaissance et la pleine maîtrise, en l’occurrence, son site web. Elle relève enfin que l’ensemble des vérifications ont été menées sur une période de temps relativement longue, - entre le mois de janvier 2020 et le mois de juin 2021 -, et qu’un seul contrôle a été mené après la notification du rapport de sanction sur lequel la société a eu la possibilité de faire valoir ses observations. En conséquence, la formation restreinte considère que la présente procédure et les différentes actions menées dans ce cadre n’ont pas porté atteinte aux droits de la défense de la société et ont respecté le principe du contradictoire.
B. Sur l’existence et l’étendue d’une responsabilité de la SOCIETE [...] s’agissant des cookies déposés depuis son site web
48. Aux termes de l’article 82 de la loi "Informatique et Libertés " , qui constitue la transposition en droit interne de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, "tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s'y opposer.
Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.
Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
49. La rapporteure considère que la SOCIETE [...], en tant qu’elle édite le site web [...].fr, a une part de responsabilité dans le respect des obligations de l’article 82 de la loi "Informatique et Libertés " pour les opérations de lecture et / ou d’écriture d’informations effectuées dans le terminal des utilisateurs lors de la visite de son site web, y compris celles réalisées par des tiers qui sont ses partenaires commerciaux (ci-après "cookie tiers "). Elle souligne que si l’obligation qui incombe à la société est bien une obligation de moyens, il apparaît également clairement qu’en l’espèce, les moyens mis en œuvre par la société ont été insuffisants. De plus, la rapporteure fait valoir que l’analyse qu’elle développe dans son rapport n’est pas nouvelle, qu’elle a été développée au regard de la jurisprudence applicable et que la formation restreinte a déjà sanctionné des manquements à l’article 82 de la loi précitée en lien avec des opérations de lecture et / ou d’écriture d’informations effectuées par des tiers.
50. En défense, la société conteste cette analyse et fait valoir que la présente procédure de sanction violerait le principe de légalité des délits et des peines, garanti à l’article 8 de la Déclaration des droits de l'homme et du citoyen, dès lors qu’il n’existe aucune doctrine de la CNIL ou de l’ensemble des régulateurs européens sur la répartition des responsabilités entre les éditeurs de site et les émetteurs de cookies tiers. Elle fournit à ce titre une synthèse de l’état des réflexions de la CNIL datant de 2017, […], et un courrier de la présidente de la CNIL adressé le 26 mars 2021 au Groupement des éditeurs de contenu et de services en ligne (le GESTE). Elle indique, en outre, que les décisions de sanction de novembre et décembre 2020 à l’encontre des sociétés CARREFOUR BANQUE et AMAZON EUROPE CORE ne sont pas pertinentes en ce qu’elles ne traitent pas de la répartition de la responsabilité entre les éditeurs et les tiers déposant les cookies. Enfin, elle considère qu’en tout état de cause, elle n’est pas responsable des opérations de lecture et / ou d’écriture d’informations effectuées par des tiers sur son site et que la rapporteure met à sa charge une obligation de résultat et non de moyens de respecter les dispositions de l’article 82 de la loi "Informatique et Libertés " alors qu’elle ne dispose pas des possibilités techniques de faire respecter ces dispositions. Ces opérations sont en effet intégralement effectuées par des tiers qui ne respectent pas le signal
qu’elle leur transmet en l’absence de consentement de l’utilisateur aux opérations de lecture et / ou d’écriture d’informations sur son terminal. En ce sens, la société soutient que l’ensemble des cookies identifiés dans le rapport comme étant des cookies "internes ", c’est-à-dire déposés par les domaines du site qu’elle édite (www.[...].fr", ".[...].fr " ou "player-video.[...].fr "), sont en réalité déposés par des tiers au moyen d’un code Javascript exécuté par la page du site web de l’éditeur visitée par l’internaute. La société indique que, dans ce cas, elle "n’est pas au courant de l’existence de ce cookie et n’a pas le moyen d’en contrôler le dépôt ou la lecture ". Dès lors, la société estime qu’elle est uniquement responsable de la fourniture d’une information préalable aux utilisateurs de son site [...].fr et des modalités de recueil du consentement des utilisateurs aux opérations de lecture et / ou d’écriture d’informations.
51. En premier lieu, la formation restreinte relève, tout d’abord, que la société n’est pas fondée à soutenir que les obligations qui lui incombent en matière de cookies en tant qu’éditeur de site n’étaient pas identifiées avant la réception du rapport et faisaient l’objet de règles incertaines dans la mesure où ces règles ne sont pas nouvelles. En effet, la formation restreinte souligne à nouveau que les différentes branches du manquement reproché à la société - à savoir le dépôt de cookie sur le terminal de l’utilisateur dès son arrivée sur la page d’accueil du site [...].fr avant toute action de sa part sans recueil du consentement ou après qu’il a exprimé son refus à de telles opérations de lecture et / ou d’écriture de telles informations - ont pour seul fondement juridique les dispositions de l’article 82 de la loi "Informatique et Libertés " qui ont transposé les dispositions relatives aux cookies et traceurs de la directive "ePrivacy ". Elle signale que si ces prescriptions étaient autrefois prévues à l’article 32, paragraphe II, de cette même loi, avant que le texte ne soit refondu dans son ensemble par l’ordonnance n° 2018-1125 du 12 décembre 2018, leur contenu est demeuré inchangé depuis 2011.
52. La formation restreinte rappelle ensuite que le Conseil d’État a jugé (CE, 6 juin 2018, Editions Croque Futur, n° 412589, Rec.), qu’au titre des obligations qui pèsent sur l'éditeur d’un site qui dépose des "cookies tiers ", figurent celle de s'assurer auprès de ses partenaires, d’une part, qu'ils n'émettent pas, par l'intermédiaire de son site, des traceurs qui ne respectent pas la règlementation applicable en France et, d’autre part, celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements. Le Conseil d’État a en particulier jugé que "les éditeurs de site qui autorisent le dépôt et l’utilisation de tels "cookies " par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le "cookie ", notamment lorsque ce dernier conserve seul la maîtrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l'éditeur de site dans une telle hypothèse, figurent celle de s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des "cookies" qui ne respectent pas la règlementation applicable en France et celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements " (surlignement ajouté).
53. La formation restreinte relève en outre que si les recommandations émises par la formation plénière de la CNIL en matière de cookies ont évolué récemment pour tenir compte des évolutions induites par le RGPD en matière de consentement notamment, ces évolutions n’ont pas d’incidence dans le cas d’espèce et il a continuellement été considéré, comme l’indique la délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978 depuis abrogée, que "lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II précité [actuel article 82 de la loi du 6 janvier 1978] ". Cette délibération précise qu’il en est ainsi "des éditeurs de sites internet (ou des éditeurs d'application mobile par exemple) et de leurs partenaires (régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d'audience...). En effet, dans la mesure où les éditeurs de site constituent souvent l'unique point de contact des internautes et que le dépôt de cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l'information préalable et au recueil du
consentement, explicités à l'article 2 de la présente recommandation ".
54. La formation restreinte relève à cet égard que la société est d’autant moins fondée à invoquer l’argument en lien avec le caractère fluctuant des recommandations que la doctrine de la CNIL sur la répartition des responsabilités entre les éditeurs de site et les émetteurs de cookies tiers a été reprise dans une communication publiée sur le site de la CNIL le 1er octobre 2020.
55. La formation restreinte souligne qu’il ressort de l’ensemble de ces éléments que l’obligation qui incombe à la société est bien une obligation de moyens, et non une obligation de résultat, dont le périmètre n’est pas incertain et a été au contraire précisé tant par le Conseil d’État dans sa décision Editions Croque Futur que par la CNIL dans ses recommandations. La formation restreinte estime que la société n’est pas fondée à soutenir que les obligations qui lui incombent en matière de cookies en tant qu’éditeur de site n’étaient pas identifiées avant la réception du rapport et faisaient l’objet de règles incertaines.
56. La formation restreinte souligne enfin qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires à l’encontre d’éditeurs de site pour des faits relatifs aux opérations de lecture et / ou d’écriture d’informations, y compris par des tiers, dans le terminal des utilisateurs visitant leur site, notamment dans la délibération n°SAN-2020-009 du 18 novembre 2020 à l’encontre de la société CARREFOUR BANQUE ou dans la délibération n°SAN-2020-013 du 7 décembre 2020 concernant la société AMAZON EUROPE CORE. Elle considère dès lors, à l’inverse de la société, que ces décisions sont pertinentes et rendent compte de la responsabilité d’éditeurs de sites web en lien avec le dépôt de cookies par des tiers.
57. En deuxième lieu, s’agissant de la responsabilité associée aux cookies déposés par des tiers sous le nom de domaine du site [...].fr, la formation restreinte relève que, pour que des opérations de lecture et / ou d’écriture d’informations puissent être effectuées par des tiers sous les noms de domaine de la société, ceci n’est en principe rendu possible que par l’inclusion par la société d’un fragment de code Javascript sur son site permettant aux tiers de déposer ou non un cookie.
58. La formation restreinte considère qu’il s’ensuit que deux cas de figure sont possibles : soit l’inclusion de ces fragments de code Javascript dans les pages qu’elle distribue sous ses noms de domaine est effectuée à l’initiative de la société ou avec son accord, auquel cas, la société en est à l’origine ou en a pleinement connaissance, soit la société soutient qu’elle ne peut contrôler l’inclusion de ces fragments de code Javascript dans les pages qu’elle distribue sous ses noms de domaine, auquel cas cela attesterait d’une vulnérabilité majeure du site [...].fr. Dès lors, la formation restreinte considère que dans l’un ou l’autre de ces deux cas, la société n’est pas fondée à soutenir qu’aucune responsabilité ne lui incombe en l’espèce.
59. Enfin, si la formation restreinte prend acte de ce que ces cookies ne peuvent être qualifiés de cookies "internes ", elle considère cependant que cela n’exonère pas la société de sa part de responsabilité, cette dernière devant s’assurer que ses partenaires n’émettent pas, par l’intermédiaire de son site, des cookies qui ne respectent pas la règlementation applicable et devant effectuer les démarches nécessaires pour faire cesser le manquement constaté, comme cela a été décrit précédemment.
60. En troisième lieu, s’agissant de l’obligation de moyens incombant à la société, la formation restreinte considère que reconnaître l’existence d’une responsabilité des tiers déposant des cookies sur le site de la société en l’absence de consentement des internautes ne dédouane pas l’éditeur du site – en l’espèce, la SOCIETE [...] - de sa propre responsabilité liée aux opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs naviguant sur son site, dans la mesure où cette dernière a la maîtrise de son site et de ses serveurs, lui permettant ainsi de respecter les obligations qui lui incombent, à savoir, s'assurer que ses partenaires n'émettent pas, par l'intermédiaire de son site, des "cookies " qui ne respectent pas la règlementation applicable en France, et effectuer les démarches nécessaires pour faire cesser le manquement constaté. La formation restreinte considère dès lors que cette responsabilité – consistant en une obligation de moyens et non de résultat - justifie que la société soit visée par la présente procédure.
61. En conséquence, la formation restreinte considère que, contrairement à ce qu’affirme la SOCIETE [...], le périmètre de la responsabilité de cette dernière existe sous la forme d’une obligation de moyens de s’assurer que ses partenaires n’émettent pas, par l’intermédiaire de son site, des cookies en violation de la réglementation applicable en France.
62. Il appartient dès lors à la formation restreinte d’apprécier au cas d’espèce si la société a mis en œuvre suffisamment de diligences pour considérer qu’elle a rempli son obligation de moyens.
C. Sur la caractérisation du manquement à l’article 82 de la loi "Informatique et Libertés "
63. Ainsi qu’il l’a été rappelé au point 48, l’article 82 de la loi "Informatique et Libertés " constitue la transposition en droit interne de l’article 5(3) de la directive "ePrivacy ".
64. Au regard des dispositions de l’article 82 de la loi, la rapporteure estime en substance que les constatations mettent en exergue deux séries de négligences importantes de la SOCIETE [...] en matière d’utilisation des cookies, relatives : 
- au dépôt de cookies à finalité publicitaire par des partenaires sur le terminal de l’utilisateur lorsque celui-ci se rend sur le site [...].fr, avant toute action de sa part et sans recueil de son consentement ;
- à l’impossibilité pour l’utilisateur de refuser de manière effective le dépôt des cookies à finalité publicitaire par des partenaires sur son terminal bien qu’il en ait exprimé le souhait.
65. La rapporteure relève que les services de la CNIL ont effectué cinq opérations de contrôle en ligne et, qu’à chacune de ces vérifications, il a été constaté que des cookies à finalité publicitaire étaient déposés sur le terminal de l’internaute sans le recueil de son consentement dès son arrivée sur la page d’accueil du site [...].fr et avant toute action de sa part. La rapporteure considère qu’au regard de ces vérifications, les moyens mis en œuvre par la société pour éviter le dépôt de cookies à finalité publicitaire par des partenaires en méconnaissance des règles applicables sont insuffisants. La rapporteure considère également que le dépôt de tels cookies à finalité publicitaire dès l’arrivée de l’utilisateur sur le site [...].fr et avant toute action de sa part, empêche nécessairement ce dernier d’exprimer valablement son consentement. Elle rappelle que la loi "Informatique et Libertés " prévoit expressément que ces opérations, sauf exceptions, ne peuvent avoir lieu qu’après que ce dernier a exprimé son consentement.
66. La rapporteure estime ensuite qu’au regard des contrôles en ligne effectués les 9 septembre 2020 et le 18 février 2021, le dispositif mis en place par la SOCIETE [...] pour refuser le dépôt et ou la lecture d’informations à finalité publicitaire sur le terminal de l’utilisateur apparait également défaillant puisque plusieurs opérations de lecture et / ou d’écriture d’informations à finalité publicitaire ont eu lieu dans l’équipement terminal de l’utilisateur par des partenaires de la société, après qu’il a exprimé son refus et navigué vers une autre page du site [...].fr, ce qui prive d’effet le refus de l’utilisateur, en violation des exigences de l’article 82 de loi "Informatique et Libertés ".
67. En défense, la société développe deux séries d’arguments. La première est relative aux cookies concernés par la présente procédure et les constats effectués par la délégation de contrôle, qui comporteraient des erreurs. La seconde est relative à l’absence de responsabilité de la société s’agissant des faits qui lui sont reprochés. Elle indique en effet que l’ensemble des opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs visitant le site [...].fr mentionnées dans le rapport et pour lesquelles le consentement ou le refus des utilisateurs n’a pas été pris en compte est le fait de tiers et ne relève pas de sa responsabilité. La société ajoute qu’en tout état de cause elle considère avoir rempli son obligation en lien avec l’article 82 de la loi "Informatique et Libertés ", qui constitue une obligation de moyens en mettant en œuvre plusieurs outils, à savoir une plateforme de gestion du consentement, un outil de veille et l’émission d’un signal de refus auprès des tiers qui procèdent aux opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs lors de leur navigation sur le site [...].fr.
1. Sur les cookies en cause et constats réalisés par la délégation de contrôle de la CNIL
68. La rapporteure estime que les vérifications effectuées par les services de la CNIL se sont déroulées dans le cadre des procédures fixées par la loi "Informatique et Libertés " et de son décret d’application et qu’ils ont permis de constater, à chacune des opérations de contrôle, le dépôt (opération "d’écriture / d’inscription d’information ") et / ou la lecture (opérations de "lecture / d’accès aux informations ") de cookies sur le terminal de l’utilisateur.
69. En défense, la société estime que les constats effectués par les services de la CNIL comportent des erreurs.
70. En premier lieu, la société relève une erreur matérielle, à savoir qu’un cookie nommé "[…] " a été identifié à tort dans le rapport de sanction comme étant déposé par le domaine "[…] " alors qu’il a été déposé par le domaine "[…] ".
71. La formation restreinte relève qu’il s’agit en effet d’une erreur, contenue dans le rapport de sanction, mais qui ne rétroagit pas sur les constats effectués par la délégation et la caractérisation du manquement dans la mesure où la délégation a bien constaté le dépôt de ce cookie "[…]", qui est un cookie à finalité publicitaire, en l’absence de consentement de l’utilisateur, et l’erreur liée au nom de domaine associé à ce cookie n’a aucune incidence sur sa finalité et sur le fait qu’il soit déposé sans le consentement de l’utilisateur.
72. En deuxième lieu, tout en ne remettant pas en cause la finalité publicitaire du cookie dénommé "[…]" déposé par le domaine "[…] ", des cookies dénommés "[…]" et "[…]" déposés par le domaine "[…] " et du cookie dénommé "[…] " déposé par les domaines "www.[...].fr " et "player-video.[...].fr " dans le terminal de l’internaute lors de l’arrivée sur le site [...].fr, la société fait valoir que, dans la mesure où ces derniers sont des cookies ayant une durée de vie limitée, correspondant pour la plupart à la durée de vie de la session de l’utilisateur, ils ne nécessitent pas le consentement de l’utilisateur préalablement à leur dépôt sur le terminal de ce dernier.
73. La formation restreinte relève que, conformément à l’article 82 de la loi "Informatique et Libertés ", seuls les cookies ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique ou les cookies étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur sont exemptés de l’obligation de recueil de consentement préalable à leur dépôt. Il s’agit des cookies techniques sans lesquels un site web ne pourrait pas fonctionner ou, par exemple, les cookies de paniers d’achats sans lesquels un utilisateur ne pourrait pas valider une commande. Dès lors, la formation restreinte estime qu’il ne peut être considéré que la durée de vie d’un cookie soit un critère d’exemption défini par la loi. Au contraire, seule la finalité peut l’être ou le fait que le traceur soit strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur.
74. La formation restreinte considère en conséquence que la durée de vie des cookies est sans influence sur le fait qu’ils poursuivent une finalité publicitaire et qu’ils ne peuvent, dès lors, être considérés comme ayant pour finalité exclusive de permettre ou faciliter la communication par voie électronique, ou comme étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
75. Dès lors, la formation restreinte relève que, pour ces cookies à finalité publicitaire ayant la durée de vie d’une session, la société ne doit pas permettre leur dépôt sur le terminal des utilisateurs lors de l’arrivée sur le site [...].fr, avant toute action de leur part et en l’absence de recueil de leur consentement, sauf à méconnaître ses obligations résultant de l’article 82 de la loi "Informatique et Libertés ".