AgentPublic/cnil huggingface dataset:
65. Le rapporteur a relevé qu’au jour du contrôle en ligne du 11 mai 2021, si le bandeau affiché sur le site web […] contenait un bouton permettant d’accepter immédiatement les cookies, aucun moyen analogue n’était offert à l’utilisateur pour pouvoir refuser, facilement et en un seul clic, le dépôt de ces cookies. Il devait effectuer au moins deux actions (effectuer un premier clic sur " Plus d’options ", laisser les boutons glissants pré-cochés sur " Désactiver " par défaut, puis effectuer un clic sur " Enregistrer les paramètres ") pour refuser les cookies contre une seule action pour les accepter. Un tel mécanisme ne présentait donc pas, selon le rapporteur, la même facilité que celle permettant d’exprimer son consentement, en méconnaissance des exigences légales de liberté du consentement, qui impliquent de ne pas inciter l’internaute à accepter les cookies plutôt qu’à les refuser. Le rapporteur constate également qu’avant la modification des termes dans le centre de gestion des préférences effectuée le 22 septembre 2022, la présentation de la fenêtre permettant à l’utilisateur de refuser les cookies pouvait être ambigüe en raison de l’utilisation de l’infinitif – " Désactiver " – qui sous-entend en principe qu’une action doit être menée. Le rapporteur a donc considéré que les conditions de recueil du consentement mises en œuvre par la société […] sur le site web […] n’étaient pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés telles
qu’éclairées par l’article 4, paragraphe 11, du RGPD sur la liberté du consentement, au moment du contrôle en ligne du 11 mai 2021 et jusqu’au 29 mars 2022, date à laquelle la société a mis en place un bouton " Tout refuser ".
66. En défense, la société fait valoir que ni la directive " ePrivacy ", ni sa transposition en droit français à l’article 82 de la loi " Informatique et Libertés ", ni le RGPD, ne prévoient la règle selon laquelle il doit être aussi facile de refuser les cookies que de les accepter. Elle avance que la recommandation de la CNIL du 17 septembre 2020 n’a pas valeur contraignante. La société considère à ce titre que la CNIL accepte la présentation d’un bouton moins aisément accessible ou moins visible pour refuser l’inscription des cookies. La société soutient que l’importance des délais de mise en œuvre, des tests et les conséquences techniques et commerciales sur l’activité de son moteur de recherche justifiaient qu’elle attende la décision finale du Conseil d’État pour éviter une énième modification de son bandeau cookies.
67. La société explique également, qu’avant la mise en place de ce bouton " Tout refuser ", elle se fondait sur un centre de gestion des préférences et un consentement explicite de ses utilisateurs pour l’utilisation de cookies non essentiels et qu’aucun cookie non essentiel n’était placé sur le terminal des utilisateurs avant qu’ils ne cliquent sur le bouton " Accepter ". Elle considère ainsi que l’utilisateur refusait de consentir aux cookies non essentiels lorsqu’il s’abstenait de cliquer sur le bouton " Accepter " et qu’il poursuivait sa navigation ou en cliquant sur " Enregistrer les paramètres " après s’être rendu sur le centre de gestion des préférences en cliquant sur " Plus d’options ", et qu’il était ainsi aussi facile de refuser que de consentir aux opérations de lecture et/ou d’écriture. […] considère donc que l’utilisateur pouvait accepter ou refuser le dépôt de cookies de manière très simple et à chaque fois selon deux modalités, lui assurant ainsi un choix libre. 
68. En premier lieu, la formation restreinte relève que, si la société […] fait aujourd’hui valoir que l’absence de choix exprimé par l’utilisateur avait pour effet de n’inscrire aucun cookie non essentiel sur son terminal, le bandeau d’information affiché à l’utilisateur ne contenait aucune information en ce sens.
69. La formation restreinte considère, ainsi que la Commission l’a rappelé dans ses lignes directrices précitées, que si le refus de l’utilisateur de consentir aux cookies peut se déduire de son silence, c’est à la condition que l’utilisateur en soit pleinement informé. A défaut, l’équilibre entre les modalités d’acceptation et de refus n’est pas respecté. Or, tel n’était pas le cas en l’espèce : en visualisant le bandeau, l’utilisateur n’était pas informé des moyens dont il disposait pour ne pas consentir de manière simple aux cookies.
70. La formation restreinte estime au contraire qu’il n’était pas intuitif pour l’utilisateur de considérer qu’en continuant à naviguer sans effectuer d’action sur le bandeau cookies, aucun cookie ne serait déposé. Elle relève par ailleurs que, si une telle navigation sans action sur le bandeau était effectivement possible, ainsi que la délégation de contrôle l’a constaté lors du contrôle en ligne effectué le 11 mai 2021, un choix était imposé concernant le dépôt de cookie après trois recherches à partir du moteur de recherche, par le biais d’une fenêtre surgissante présentant un bouton " Accepter " et un bouton " Plus d’options ". Dès lors, le choix le plus simple pour un internaute était l’acceptation des cookies via le bouton " Accepter ". Ainsi, la formation restreinte considère qu’en l’absence d’information sur les conséquences de son inaction, l’utilisateur souhaitant refuser les cookies était fortement incité à cliquer sur le bouton " Plus d’options " puis à effectuer les deux actions décrites ci-avant.
71. De surcroît, la formation restreinte relève le caractère peu explicite du bouton " Plus d’options " proposé dans le cadre de la première fenêtre, qui ne mentionnait pas clairement l’existence de moyens permettant de refuser les cookies ainsi que l’ambiguïté de l’utilisation de l’infinitif " Désactiver " dans le cadre de la deuxième fenêtre, pouvant amener l’utilisateur à penser que les cookies étaient par défaut autorisés. Elle estime que le fait que les cookies n’étaient pas déposés est sans incidence sur la confusion générée par le parcours informationnel qui pouvait donner à l’utilisateur le sentiment qu’il n’était pas possible de refuser le dépôt de cookies et qu’il ne disposait pas de modalités de contrôle à cet égard ou encore à se tromper lors de la désactivation de ces cookies.
72. En second lieu, la formation restreinte note qu’il ressort de plusieurs études que les organismes ayant mis en place un bouton " Tout refuser " sur l’interface de recueil du consentement au premier niveau ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. Ainsi, selon le " baromètre Privacy – édition 2021 " publié par la société COMMANDERS ACT, le taux de consentement sur ordinateur est passé de 70% à 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De même, selon une étude 366-Kantar, il apparaît que 41% des internautes en France ont refusé, systématiquement ou partiellement, le dépôt de cookies en juin 2021.
73. La formation restreinte estime en outre que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton " Accepter ". En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur " Plus d’options " et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton " Tout refuser ", mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.
74. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés, interprétées à la lumière du RGPD, est constitué, dans la mesure où, au moment du contrôle en ligne du 11 mai 2021 et jusqu’à la mise en place d’un bouton " Tout refuser " le 29 mars 2022, l’utilisateur n’avait pas la possibilité de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité qu’il avait de les accepter. 
III. Sur les mesures correctrices et leur publicité
75. Aux termes de l’article 20, III, de la loi du 6 janvier 1978 modifiée, " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […] 
7° A l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. […] La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ".
76. L’article 83 du RGPD prévoit quant à lui que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
A. Sur le prononcé d’une amende administrative et son montant
77. La société considère que l’amende administrative proposée est disproportionnée par rapport aux manquement allégués et à sa conduite, à la position fragile de […] sur le marché des moteurs de recherche dominé par un seul acteur, au rôle essentiel que […] joue en offrant une alternative aux utilisateurs français et à la faible proportion par laquelle […] contribue à ses résultats financiers. 
78. La formation restreinte rappelle que l’article 20, paragraphe III, de la loi Informatique et Libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement ou à 10 millions d’euros. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.
79. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2, du RGPD relatif à la gravité du manquement compte tenu de la portée du traitement et du nombre de personnes concernées par ce dernier.
80. La formation restreinte relève qu’en ne respectant pas les exigences de l’article 82 de la loi Informatique et Libertés, la société prive les utilisateurs du moteur de recherche […] résidant en France de la possibilité de choisir des modalités préservant la confidentialité de leurs données et des modalités permettant une meilleure personnalisation du service qui leur est proposé, réduisant ainsi leur autonomie informationnelle. Par ailleurs, l’absence de consentement préalable au dépôt de cookies dès l’arrivée des utilisateurs résidant en France sur le site web […] et lors de leur navigation sur ce dernier, constitue une atteinte substantielle au droit au respect à la vie privée des personnes concernées. Enfin, le déséquilibre entre les modalités offertes à l’utilisateur pour accepter ou refuser le dépôt de cookies sur son terminal ne lui permet pas de bénéficier d’une véritable liberté de choix. 
81. La formation restreinte relève également le caractère massif du traitement. Elle rappelle que la société a indiqué que le moteur de recherche […] comptabilisait près de 11 millions de visiteurs uniques en France pour le mois de septembre 2020, soit un sixième de la population française. Le nombre de personnes concernées par les traitements en cause est ainsi conséquent à l’échelle de la population française.
82. En outre, la formation restreinte note qu’il ressort d’informations publiquement disponibles que le moteur de recherche […] est […], bien qu’il ne représente que 5% des parts de marché en nombre moyen mensuel de requêtes. La formation restreinte relève également que le moteur de recherche […] est utilisé par défaut pour les requêtes effectuées au sein des systèmes d’exploitation […]. La formation restreinte relève que, de fait, la base d’utilisateurs du moteur de recherche est étendue au-delà du seul segment des logiciels de navigation web. 
83. En deuxième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du Règlement relatif aux avantages financiers obtenus du fait du manquement et à toute autre circonstance.
84. La formation restreinte rappelle que le dépôt du cookie […] sur le terminal des utilisateurs en France, avant toute action de leur part et sans leur consentement pour des finalités de lutte contre la fraude publicitaire relève de la publicité contextuelle. La formation restreinte relève également que le dépôt du cookie […] sur le terminal des utilisateurs en France, après navigation et sans leur consentement ainsi que l’absence de moyen analogue de refuser les cookies que de les accepter, ont des conséquences directes sur l’usage des cookies pour des finalités non essentielles qui relèvent de la publicité personnalisée.
85. À cet égard, la formation restreinte relève que les clients de l’équipe […] pour le public français, tels que […], achètent des espaces publicitaires sur le moteur de recherche […] et collaborent avec l’équipe […] afin de cibler les publics locaux et ainsi proposer les publicités les plus pertinentes. La formation restreinte relève que l’affichage de publicités personnalisées à un internaute n’est possible que si la navigation de ce dernier a pu être tracée grâce à un traceur, afin de déterminer quel contenu serait le plus pertinent à afficher. En outre, la formation restreinte souligne qu’il ressort des études évoquées ci-avant que les sociétés qui ont mis en place un bouton " Tout refuser " sur l’interface de recueil du consentement ont vu le taux de consentement relatif à l’acceptation des cookies diminuer, puisqu’une part importante des internautes refusent complètement ou partiellement les cookies et autres traceurs, ce qui a nécessairement un impact en termes de revenus liés à la publicité en ligne. Ainsi, la formation restreinte considère que le traitement en cause effectué par la société […] – consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […], sans mise en œuvre d’un mécanisme de refus du consentement aussi facile que celui d’accepter les cookies jusqu’à mars 2022 – participe à ce titre à générer un revenu publicitaire en France, au bénéfice de
l’activité de la société.
86. Bien que le placement de cookies à des fins publicitaires ne constitue pas la source principale de revenus pour la société qui indique tirer l’essentiel de ses bénéfices de la revente de matériel, de la commercialisation et la concession de licences et de la distribution de logiciels, la formation restreinte relève que les revenus publicitaires facturés relatifs au domaine […] et réalisés en France, qui sont passés de […] en 2020 à […] en 2021, présentent une augmentation de […] %. 
87. La formation restreinte relève également que les comptes de […] et de ses filiales qui sont publiquement disponibles démontrent que la publicité constitue l’un des modèles économiques majeurs du groupe […]. Le rapport annuel 2021 du groupe mentionne ainsi que sa marge brute a augmenté de 10 % en 2021 grâce, notamment, au secteur de la publicité.
88. Par ailleurs, la formation restreinte rappelle le contexte dans lequel la société […] a choisi de ne pas offrir à ses utilisateurs, sur le moteur de recherche […], de faculté de refuser aisément les cookies jusqu’en mars 2022. En effet, la CNIL a mis en œuvre un plan de mise en conformité sur la question des cookies étalé sur plusieurs années. La CNIL a communiqué publiquement sur son site web, à plusieurs reprises, sur le fait qu’il doit être aussi facile pour l’internaute de refuser les cookies que de les accepter. Ce fut le cas notamment le 1er octobre 2020, à l’occasion de la publication des lignes directrices et de la recommandation du 17 septembre 2020 précitées. La mise en conformité devait avoir lieu pour le 1er avril 2021. Des centaines de milliers d’acteurs, des plus petits sites aux plus importants, se sont mis en conformité et ont introduit sur leur interface de recueil du consentement un bouton " Refuser " ou " Continuer sans accepter ".
89. La formation restreinte note également qu’avant le contrôle en ligne du 11 mai 2021, un premier contrôle en ligne avait été réalisé par la délégation le 29 septembre 2020, et qu’une audition de la société […] avait été organisée le 4 février 2021 avec la délégation. En ce sens, la formation restreinte relève que la société […] était prévenue qu’une mise en conformité du moteur de recherche était attendue par la CNIL, que des cookies étaient déposés alors qu’un consentement était nécessaire et qu’elle disposait du temps nécessaire notamment pour mettre en place un moyen conforme de recueillir le consentement des utilisateurs.
90. La formation restreinte relève pourtant que ce n’est que le 29 mars 2022 que la société a choisi d’insérer un bouton " Tout refuser ", suite à la désignation d’un rapporteur par la présidente de la Commission. 
91. En dernier lieu, la formation restreinte rappelle qu’en application des dispositions de l’article 20, paragraphe III, de la loi Informatique et Libertés, la société […] encourt une sanction financière d’un montant maximum de 2% de son chiffre d’affaires ou de 10 millions d’euros, le montant le plus élevé étant retenu. Compte tenu du chiffre d’affaires de la société s’élevant à […] en 2021, le montant maximal de l’amende encourue en l’espèce s’élève donc à plus de […].
92. Dès lors, au regard de la responsabilité de la société, de ses capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de soixante millions d’euros à l’encontre de la société […] apparaît justifiée. 
B. Sur le prononcé d’une injonction
93. Le rapporteur a proposé à la formation restreinte, dans son rapport initial, de prononcer une injonction de mise en conformité relative aux conditions dans lesquelles le cookie […] est déposé sur le terminal des utilisateurs, assortie d’une astreinte d’un montant de soixante mille euros par jour de retard et liquidable à l’issue d’un délai de trois mois.
94. La société soutient que le prononcé d’une injonction n’est pas nécessaire.
 
95. En premier lieu, la formation restreinte relève que la société […] continue de déposer sur le terminal de l’utilisateur résidant en France, avant toute action, le cookie multi-finalités […] qui nécessite le recueil du consentement, en tant qu’il sert à la finalité de lutte contre la fraude publicitaire. Elle estime dès lors nécessaire le prononcé d’une injonction afin que la société se mette en conformité avec les obligations applicables en la matière.
96. En second lieu, la formation restreinte rappelle que le montant de l’astreinte doit être à la fois proportionné à la gravité des manquements commis et adapté aux capacités financières du responsable de traitement.
97. Au regard de ces éléments, la formation restreinte considère comme justifié le prononcé d’une injonction assortie d’une astreinte d’un montant de soixante mille euros par jour de retard et liquidable à l’issue d’un délai de trois mois.
C. Sur la publicité
98. La société conteste la proposition du rapporteur de rendre publique la présente décision. Elle considère que la publication de la sanction entraînerait des conséquences importantes et disproportionnées en termes d’image et de réputation. Pour justifier cette demande de publicité, le rapporteur invoque notamment le nombre de personnes concernées et la nature du manquement constitué en l’espèce. 
99. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité des manquements en cause, de la portée du traitement et du nombre de personnes concernées. 
100. La formation restreinte relève que cette mesure permettra d’alerter les utilisateurs français du moteur de recherche […] de la caractérisation du manquement à l’article 82 de la loi Informatique et Libertés dans ses différentes branches et du prononcé d’une injonction pour y remédier.
101. Enfin, la mesure est proportionnée dès lors que la décision n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer à l’encontre de la société […] une amende administrative d’un montant de soixante millions d’euros (60 000 000 €), au regard du manquement constitué à l’article 82 de la loi Informatique et Libertés ;
• prononcer à l’encontre de la société […] une injonction de recueillir le consentement des utilisateurs lors de leur arrivée sur le site web […] avant toute opération de lecture et écriture d’informations sur le terminal des utilisateurs résidant en France ayant pour finalité la lutte contre la fraude publicitaire ;
• assortir l’injonction d’une astreinte de soixante mille euros (60 000 €) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.
Le président
Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.