AgentPublic/cnil huggingface dataset:
Elle souligne que si, par souci de pédagogie, ces précisions figurent dans ces deux instruments sous des titres qui évoquent son contenu plutôt que la source juridique dont elle procède (" S’agissant des modalités du refus " pour la recommandation du 17 septembre 2020, " Sur le refus et le retrait du consentement " pour les lignes directrices du 17 septembre 2020), c’est bien l’exigence de liberté du consentement posée par le RGPD qui implique, s’agissant du dépôt de cookies, que les modalités proposées à l’utilisateur pour manifester ce choix soient telles qu’elles ne l’incitent pas plus à accepter les cookies qu’à les refuser.
La formation restreinte relève d’ailleurs que le Conseil d’État a déjà eu l’occasion de se prononcer sur cette question dans sa décision Association des agences-conseils en communication, dans laquelle il examinait les lignes directrices du 4 juillet 2019. Il a ainsi jugé que : " la CNIL qui, en indiquant qu’il devait "être aussi facile de refuser ou de retirer son consentement que de le donner", s’est bornée à caractériser les conditions du refus de l’utilisateur, sans définir de modalités techniques particulières d’expression d’un tel refus, n’a entaché sa délibération d’aucune méconnaissance des règles applicables en la matière " (CE, 19 juin 2020, n° 434684, T., pt 15).
Elle remarque que ce considérant doit être lu à l’aune des conclusions du rapporteur public sur cet arrêt, lequel relevait : " Comme l’indique la CNIL, les lignes directrices attaquées n’imposent aucune modalité technique de recueil de ce refus. Elles se bornent à exiger, de manière générale et à juste titre, qu’il ne soit pas plus compliqué de refuser que d’accepter " (CE, conclusions du rapporteur public sur l’arrêt n° 434684, p. 17).
Enfin, elle souligne que dans les lignes directrices et dans la recommandation du 17 septembre 2020, la CNIL n’impose pas nécessairement l’insertion d’un bouton " Tout refuser ", mais rappelle l’importance de mettre en place une alternative simple permettant à l’utilisateur de refuser les cookies aussi simplement que de les accepter, en donnant des exemples de formulation et de modalités qui peuvent être utilisées par les organismes afin que la liberté du consentement des utilisateurs soit véritablement respectée.
Ainsi, au titre de la recommandation du 17 septembre 2020, la CNIL propose : " Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement " tout accepter " et " tout refuser ", " autoriser " et " interdire ", ou " consentir " et " ne pas consentir ", ou toute autre formulation équivalente et suffisamment claire. La Commission considère que cette modalité constitue un moyen simple et clair pour permettre à l’utilisateur d’exprimer son refus aussi facilement que son consentement. L'expression du refus de consentir peut toutefois découler d'autres types d'actions que celle consistant à cliquer sur l'un des boutons décrits ci-dessus. En tout état de cause, la Commission rappelle que les modalités permettant aux utilisateurs de consentir ou de refuser doivent être présentées de façon claire et compréhensible. En particulier, lorsque le refus peut être manifesté par la simple fermeture de la fenêtre de recueil du consentement ou encore par l'absence d'interaction avec celle-ci pendant un certain laps de temps, cette possibilité doit être clairement indiquée aux utilisateurs sur cette fenêtre. En effet, à défaut, l'utilisateur serait susceptible de ne pas comprendre que ces actions conduisent à ce qu'aucune opération de lecture ou d'écriture soumise au consentement ne peut avoir légalement lieu. Un design et une information appropriés
devraient lui permettre de bien comprendre les options qui s'offrent à lui ".
En l’espèce, la formation restreinte rappelle que, tel qu’il ressort des constations effectuées lors du contrôle en ligne du 8 avril 2021, lorsqu’un utilisateur résidant en France se rend sur le site web " [V].com ", il peut accepter le dépôt de cookies publicitaires en une seule action, en cliquant sur le bouton intitulé " Accepter les cookies " figurant sur la première fenêtre.
Elle relève qu’en revanche, pour refuser ces cookies, l’utilisateur devra effectuer pas moins de trois actions : d’abord cliquer sur le bouton intitulé " Gérer les paramètres de données " situé au-dessus du bouton " Accepter les cookies " de la première fenêtre, faire défiler l’intégralité du contenu de la seconde fenêtre, notamment pour constater que les deux boutons glissants commandant le dépôt de cookies publicitaires sont désactivés par défaut, et enfin cliquer sur le bouton " Tout accepter " situé au bas de cette seconde fenêtre.
En l’occurrence et comme elle l’a déjà évoqué, la formation restreinte considère que le fait, pour la société, de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton " Accepter les cookies ". En effet, un utilisateur du web est généralement conduit à consulter de nombreux sites. La navigation sur le web se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur " Gérer les paramètres de données " et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offre un choix entre l’acceptation ou le refus des cookies, mais les modalités par lesquelles ce refus peut être exprimé, dans le contexte de la navigation sur le web, biaise l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.
En second lieu, en ce qui concerne l’information fournie, la formation restreinte rappelle qu’au titre de l’article 82 de la loi " Informatique et Libertés ", l’utilisateur doit notamment être informé, avant de consentir aux cookies, " des moyens dont il dispose pour s'y opposer ", c’est-à-dire pour les refuser, et que l’information fournie doit être " claire et complète ". Elle souligne que ces dispositions doivent se lire à la lumière du considérant 66 de la directive modificative 2009/136/CE " ePrivacy " qui prévoit que " les méthodes retenues pour fournir des informations et offrir le droit de refus devraient être les plus conviviales possibles ".
Elle souligne que, dans le cadre de sa recommandation du 17 septembre 2020, la Commission a pris soin de préciser que cette exigence d’une information " claire et complète " devait s’interpréter de telle façon que " l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir ".
En l’espèce, elle rappelle qu’il ressort du contrôle en ligne du 8 avril 2021 qu’une fois arrivé sur le site web " [V].com ", l’utilisateur doit, pour refuser le dépôt de cookies publicitaires, d’abord cliquer sur le bouton " Gérer les paramètres de données " de la première fenêtre, faire défiler l’intégralité de la seconde fenêtre surgissante en laissant les deux boutons glissants désactivés pour ne pas accepter les cookies, puis cliquer sur le bouton " Accepter les cookies " figurant au bas de cette seconde fenêtre.
Si, comme la société le fait valoir en défense, la formation restreinte reconnaît qu’un utilisateur distrait qui cliquerait sur le bouton " Accepter les cookies " figurant au bas de la seconde fenêtre ne verrait aucun cookie publicitaire déposé dans son terminal dès lors que les boutons glissants permettant d’activer le dépôt de ces cookies sont désactivés par défaut, elle relève qu’il est particulièrement contre-intuitif de devoir cliquer sur un bouton intitulé " Accepter les cookies " pour en réalité refuser leur dépôt.
La formation restreinte considère que ces modalités incitent plutôt l’utilisateur à penser qu’il n’est finalement pas possible de poursuivre sa navigation en ayant refusé le dépôt de cookies publicitaires puisque tout le parcours de refus des cookies repose sur une information renvoyant à l’acceptation des cookies.
Elle relève que ce sentiment ne peut être qu’accentué par le caractère peu explicite du bouton " Gérer les paramètres de données " proposé dans le cadre de la première fenêtre, qui ne mentionne pas clairement l’existence de moyens permettant de refuser les cookies.
Elle estime que le fait qu’in fine les cookies ne soient pas déposés est sans incidence sur la confusion générée par ce parcours informationnel contradictoire qui peut donner à l’utilisateur le sentiment qu’il n’est pas possible de refuser le dépôt de cookies et qu’il ne dispose pas de modalités de contrôle à cet égard.
Au vu de ces éléments, la formation restreinte considère que l’information fournie aux utilisateurs résidant en France se rendant sur la page " [V].com " ainsi que les modalités de recueil de consentement qui leur sont proposées par la société sur ce site web ne sont pas conformes aux dispositions de l’article 82 de la loi " Informatique et Libertés " telles qu’éclairées par les exigences renforcées en matière de consentement posées par le RGPD.
Sur le prononcé de mesures correctrices et la publicité
L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83. "
L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi " Informatique et Libertés ", prévoit quant à lui que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
Sur le prononcé d’une amende administrative et son montant
La société fait d’abord valoir que la démonstration par la rapporteure de la gravité du manquement et du nombre de personnes concernées au soutien de sa proposition de sanction est insuffisante.
Elle avance également que les développements de la rapporteure relatifs à la portée du manquement et aux avantages financiers perçus du fait du manquement seraient inopérants dès lors que les boutons glissants figurant sur la seconde fenêtre sont désactivés par défaut, de sorte qu’un utilisateur distrait qui cliquerait sur le bouton " Accepter les cookies " situé au bas de cette seconde fenêtre ne verrait aucun cookie déposé dans son terminal.
La formation restreinte rappelle, à titre général, que l’article 20, paragraphe III, de la loi " Informatique et Libertés " lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d'affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. La détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD auquel cet article renvoie.
En premier lieu, en ce qui concerne le prononcé d’une amende administrative, la formation restreinte considère qu’il convient premièrement de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la nature, de la portée du traitement et du nombre de personne concernées par ce dernier.
Elle relève tout d’abord qu’en ne respectant pas les exigences de l’article 82 de la loi " Informatique et Libertés ", la société ne permet pas aux utilisateurs résidant en France se rendant sur la page web " [V].com " de refuser les cookies aussi facilement que de les accepter. En les privant de cette véritable liberté de choix, la société incite fortement les utilisateurs à consentir au dépôt de cookies publicitaires.
La formation restreinte souligne la portée du réseau social [V] et la place incontournable qu’il occupe en France, dès lors qu’il domine de loin le marché des réseaux sociaux, comme l’a relevé l’Autorité de la concurrence dans son avis […]. Elle remarque par ailleurs les " effets de réseau " engendrés par cette position dominante, mis en évidence par l’autorité de la concurrence allemande dans une décision du […].
Elle insiste sur le fait que ce manquement est d’autant plus dommageable pour les personnes concernées que, parallèlement à sa fonction traditionnelle de maintien et de développement des relations interpersonnelles, ce réseau social prend également une place croissante dans des domaines aussi divers que l’accès à l’information, le débat public, voire la sécurité civile […], qui sont d’une importance certaine dans une société démocratique.
Elle souligne par ailleurs que le traçage des personnes concernées, qui commence par le recueil des informations liées au compte utilisateur et qui continue tout long de la navigation de l’utilisateur sur [V], dans une finalité publicitaire clairement reconnue par le responsable de traitement, ne s’arrête pas aux frontières du réseau social.
Il n’est pas discuté que [V] met à la disposition de très nombreux sites tiers un ensemble d’outils de traçage – tels que des plugins sociaux, des boutons de connexion ou le pixel [V] – qui vont continuer à collecter les données des utilisateurs visitant ces sites tiers pour les croiser avec les données déjà collectées dans le cadre du réseau social et ce afin d’augmenter la valorisation de ces données. Une étude de 2019 ayant révélé la présence de ces outils de traçage [V] sur 44% des 65 000 sites web les plus consultés au monde, la portée indirecte du traitement est donc considérable.
Enfin, s’agissant du nombre de personnes concernées par le traitement en cause, la formation restreinte rappelle que, selon les propres éléments de volumétrie fournis par la société, le réseau social comptabilise environ […]d’utilisateurs mensuels en France, ce qui correspond à […] % de la population.
Deuxièmement, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du RGPD relatif aux avantages financiers obtenus du fait du manquement.
A cet égard, elle relève que dans la mesure où [V] suit un modèle d’affaires dit de " mise en relation de contenus ciblés " (" targeted content matching "), opérant à la fois dans la collecte des données, leur valorisation et la mise en œuvre opérationnelle des publicités diffusées dans les bannières déployées au sein du réseau social, la performance de son modèle d’affaires repose principalement sur les outils de ciblage et notamment sur les cookies, lesquels permettent de singulariser et d’atteindre l’utilisateur identifié en vue de lui proposer du contenu publicitaire adapté à ses centres d’intérêts et à son profil.
En l’occurrence, la formation restreinte estime que le manquement en cause procure des avantages financiers indéniables à la société, dès lors que le fait d’opter pour un parcours facilitant davantage le dépôt des cookies que le refus augmente la part des utilisateurs auprès desquels les cookies publicitaires sont susceptibles d’être déposés et donc accroît également le volume des revenus publicitaires générés par le profilage auquel ces cookies participent.
Dans cette perspective, il ressort des éléments financiers de la société [Y], communiqués par la société [X], que la première tire près de 98% de ses revenus bruts du segment de la publicité en ligne et qu’elle opère une marge opérationnelle mondiale d’environ 40% sur ce segment. Même si l’ensemble de ces revenus ne sont pas directement liés aux cookies, la formation restreinte souligne que ce segment repose essentiellement sur le ciblage des internautes, auquel le cookie participe directement en permettant de singulariser et d’atteindre l’utilisateur identifié en vue de lui afficher du contenu publicitaire correspondant à ses centres d’intérêt et à son profil.
En l’occurrence, si elle n’a pas connaissance du montant du bénéfice tiré par le groupe [W] de la collecte et de l’exploitation de cookies sur le marché français via le revenu généré par la publicité ciblée visant des internautes français, la formation restreinte relève qu’une approximation proportionnelle à partir des données chiffrées dont elle dispose, notamment le revenu moyen généré par un utilisateur européen pour le segment de la publicité en ligne et le nombre d’utilisateurs résidant en France, conduirait à estimer que la France contribuerait au résultat net de la société [Y], la société-mère du groupe [W], aujourd’hui nommée [Y], pour un montant compris entre 550 et 660 millions d’euros.
En second lieu, en ce qui concerne la détermination du montant de l’amende, la formation restreinte rappelle qu’en application des dispositions de l’article 20, paragraphe III, de la loi " Informatique et Libertés ", la société [X] encourt une sanction financière d’un montant maximum de 2% de son chiffre d’affaires, lequel était de […] d’euros en 2019.
Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de 60 millions d’euros à l’encontre de la société apparaît justifiée.
Sur le prononcé d’une injonction assortie d’une astreinte
Dans ses écritures du 8 octobre 2021, la société a indiqué qu’une mise à jour de son interface de recueil du consentement aux cookies serait en cours de déploiement dans la région européenne, y compris en France, sans toutefois produire de justificatif. Elle précisait que " cette mise à jour pour la région européenne n'introduit pas de finalités supplémentaires pour les cookies, pas plus qu'elle n'ajoute de nouveaux cookies " et qu’elle vise à " améliorer l'ergonomie de l'interface ".
Le 6 décembre 2021, la société a communiqué des captures d’écran rendant compte de la nature de cette mise à jour.
En premier lieu, la formation restreinte constate que cette mise à jour modifie notamment le contenu des boutons de la première fenêtre " Gérer les paramètres de données " et " Tout accepter ", qui s’intitulent respectivement désormais " Autres options " et " Autoriser tous les cookies " et que dans la seconde fenêtre l’ancien bouton unique " Autoriser les cookies " s’intitule désormais " Autoriser uniquement les cookies essentiels " et qu’à côté la société y a introduit un second bouton intitulé " Autoriser tous les cookies ".
La formation restreinte relève que, conformément aux explications déjà évoquées au cours de la séance et répétées par la société dans le courrier accompagnant ces captures d’écran, cette mise à jour ne concerne que les " utilisateurs connectés sur le site www.[V].com ", ce que des vérifications informelles lui ont effectivement permis de constater.
Par ailleurs, et surtout, la formation restreinte remarque que cette mise à jour ne met toujours pas en place des moyens permettant de refuser les cookies aussi facilement qu’ils peuvent les accepter.
Par conséquent, dès lors que l’interface résultant de cette mise à jour n’est toujours pas conforme aux dispositions de l’article 82 de la loi " Informatique et Libertés ", telles qu’éclairées par les exigences renforcées en matière de consentement posées par le RGPD, la formation restreinte estime nécessaire le prononcé d’une injonction afin que la société se mette en conformité avec les obligations applicables en la matière.
En second lieu, la formation restreinte rappelle qu’une astreinte journalière est une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu. Son prononcé peut donc parfois s’avérer nécessaire pour s’assurer de la mise en conformité du responsable de traitement sous un certain délai.
La formation restreinte ajoute qu’afin de conserver à l’astreinte sa fonction comminatoire, son montant doit être à la fois proportionné à la gravité des manquements commis et adapté aux capacités financières du responsable de traitement. Elle relève, par ailleurs, que pour la détermination de ce montant il doit également être tenu compte du fait que le manquement concerné par l’injonction participe indirectement aux bénéfices générés par le responsable de traitement.
Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une astreinte d’un montant de 100 000 euros par jour de retard et liquidable à l’issue d’un délai de trois mois.
Sur la publicité de la décision
La société demande à la formation restreinte de ne pas rendre publique sa décision.
La formation restreinte considère au contraire que la publicité de la présente décision se justifie au regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées.
Elle relève également que cette mesure permettra d’alerter les utilisateurs du réseau social [V] résidant en France de la caractérisation du manquement à l’article 82 de la loi " Informatique et Libertés " dans ses différentes branches et de les informer de la persistance du manquement au jour de la présente délibération et de l’injonction prononcée à l’encontre de la société pour y remédier.
Enfin, elle estime que cette mesure n’est pas disproportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer une amende administrative à l’encontre de la société [X] d’un montant de soixante millions d’euros (60 000 000 d’euros) au regard du manquement constitué à l’article 82 de la loi " Informatique et Libertés " ;