AgentPublic/cnil huggingface dataset:
48. Ainsi, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de de la navigation sur le site " x.com " et l’utilisation du service " x Mail ", est effectué dans le cadre des activités de la société x FRANCE.
49. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis.
50. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive " ePrivacy ".
B. Sur la détermination du responsable de traitement
51. La formation restreinte relève que le paragraphe 7 de l’article 4 du RGPD, qui s’applique en raison du renvoi fait par l’article 2 de la directive " ePrivacy " à l’ancienne directive 95/46/CE à laquelle s’est substitué le RGPD, prévoit que le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
52. En l’espèce, la formation restreinte relève, sans que cela ait été contesté par la société, que la politique de confidentialité, dans ses versions disponibles au jour des contrôles, indique que " Nous avons recours à des cookies et à d’autres technologies lorsque vous consultez nos Produits et que vous vous servez d’applications et de sites Web tiers utilisant nos Services " étant précisé que le terme " Nous " est défini en début de la politique de confidentialité comme faisant référence à la société x. En outre, cette dernière a, dans son courrier du 2 juillet 2021, indiqué qu’elle " détermine les finalités et les moyens des traitements de données personnelles relatifs à la publicité ciblée sur tous les domaines qui ont été visités lors des vérifications " et qu’à cette occasion, elle a communiqué à la délégation de contrôle la finalité des cookies dont le dépôt avait été constaté au cours des contrôles en ligne.
53. Par ailleurs, tant la société x FRANCE que la société x FRANCE ont indiqué à la délégation que la responsabilité de traitement s’agissant du site " x.com " et de la messagerie " x Mail ", incombait à la société x
54. Ainsi, la formation restreinte considère, sans que cela ait été contesté par la société, que la société X agit en qualité de responsable du traitement en cause, en ce qu’elle détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du domaine " x.com " et de la messagerie " x Mail ".
C. Sur le grief tiré de l’irrégularité de la procédure
55. La société fait valoir la longueur de la présente procédure, le dernier contrôle de la CNIL puis la désignation du rapporteur datant respectivement d’octobre 2021 et de juillet 2023. Elle considère que la période de temps écoulée entre ces deux étapes procédurales a porté atteinte aux droits de la défense et constitue une violation du droit à une bonne administration, de manière impartiale et équitable, et dans un délai raisonnable, tel que consacré par l'article 41 de la Charte des droits fondamentaux de l’Union européenne.
56. En outre, la société conteste la méthodologie suivie par la délégation de la CNIL lors de son contrôle en ligne n° 2020-127/1 dans la mesure où l’une des captures d’écran reproduites en page 14 du procès-verbal ne correspond pas à celle à laquelle le procès-verbal fait référence et qui est annexée en pièce n° 25.
57. La formation restreinte considère, tout d’abord, qu’il ne lui revient pas d’apprécier le délai écoulé entre d’une part la décision de la présidente ordonnant un contrôle et d’autre part, la décision par laquelle elle désigne un rapporteur et saisit la formation restreinte. En outre, la procédure de sanction menée depuis la désignation du rapporteur et la saisine de la formation par la présidente de la CNIL, datés respectivement des 10 et 11 juillet 2023, s’est déroulée en moins de six mois et donc dans des conditions respectueuses des droits de la défense, en termes de délai raisonnable.
58. Ensuite, la formation restreinte note que le procès-verbal de contrôle ne contient aucune erreur dans la mesure où en page 14 de celui-ci figurent deux captures d’écran reproduites l’une en-dessous de l'autre, séparées par la mention " Constatons l’affichage suivant " et que le renvoi fait par le procès-verbal à la pièce n° 25 annexée au procès-verbal ne correspond qu’à la seconde capture d’écran. La première capture d’écran, dont fait état la société en défense, ne renvoie quant à elle à aucune annexe. Outre l'absence d’irrégularité entachant la procédure de contrôle et par voie de conséquence la procédure suivie devant la formation restreinte, cette dernière note que la présentation du procès-verbal et de ses annexes n’a jamais été contestée par la société après notification des documents par la délégation de la CNIL.
59. Par suite, le grief tiré de l’irrégularité de la procédure doit être écarté.
D. Sur les manquements aux dispositions de l’article 82 de la loi Informatique et Libertés
60. Aux termes de l’article 82 de la loi Informatique et Libertés : " Tout abonné ou utilisateur d'un service de communications électroniques doit être informé de manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s'y opposer. Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur ".
61. L’article 7(3) du RGPD dispose que : La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.
En ce qui concerne le dépôt de cookies sur le terminal de l’utilisateur en l’absence de consentement préalable
62. Le rapporteur soutient que lors de la mission de contrôle en ligne réalisée le 7 octobre 2020 dont les résultats ont été consignés dans les procès-verbaux nos 2020-127/1 et 2020-127/2, la délégation de la CNIL a constaté le dépôt d’au moins 20 cookies poursuivant une finalité nécessitant que l’utilisateur ait préalablement donné son consentement, alors que la délégation n’avait effectué aucune action pour donner son consentement à l’inscription de ces cookies.
63. En défense, la société soutient qu’elle ne peut être sanctionnée pour les manquements constatés lors du contrôle en ligne du 7 octobre 2020 dans la mesure où ce contrôle a été réalisé seulement quelques jours après la publication des lignes directrices du 1er octobre 2020, ce qui ne lui a pas laissé un temps suffisant pour en prendre connaissance et adapter son traitement. Elle souligne que ces manquements ont été commis pendant la période transitoire de six mois, du 1er octobre 2020 au 1er avril 2021, durant laquelle la CNIL avait déclaré qu’aucune mission de contrôle ni action répressive ne serait engagée, à l’exception d’atteinte particulièrement grave au respect de la vie privée.
64. La société conteste, en outre, la méthodologie suivie par la délégation de la CNIL lors du contrôle en ligne réalisé le 7 octobre 2020 pour refuser le dépôt de tous les cookies. Elle relève qu’une des captures d’écran réalisées par la délégation au cours de ce contrôle, qui est reproduite dans le procès-verbal, ne correspond pas à la pièce annexée au procès-verbal.
65. Elle indique, par ailleurs, que le rapporteur lui reproche, à tort, l’inscription de 103 cookies lors du contrôle en ligne du 7 octobre 2020, dès lors que la délégation naviguait sur le domaine d’un site tiers, et non sur le domaine " x.com ". Elle ajoute qu’un grand nombre de cookies déposés sont strictement nécessaires à la fourniture de ses services et étaient donc exemptés de consentement tandis que d’autres ont été déposés par des tiers, alors qu’elle a mis en œuvre tous les moyens permettant de s’assurer que ses partenaires ne déposent pas de cookies sur son site sans se conformer à la législation applicable. Elle précise également qu’après avoir a reçu notification du procès-verbal de constatations en ligne du 7 octobre 2020, elle a immédiatement pris des mesures supplémentaires, notamment auprès de ses partenaires, pour s’assurer que le consentement soit obtenu avant le dépôt de cookies publicitaires. Elle relève que ces mesures ont démontré leur efficacité puisqu’aucun nouveau cookie déposé sans consentement préalable n’a été observé lors du second contrôle en ligne, réalisé le 10 juin 2021.
66. En premier lieu, s’agissant du cadre juridique applicable, la formation restreinte souligne que la CNIL a expressément indiqué dans un communiqué du 29 septembre 2020 que si elle laissait aux organismes un délai pour se mettre en conformité avec ses lignes directrices du 17 septembre 2020, elle continuerait de poursuivre les manquements aux règles relatives aux cookies antérieures à l’entrée en application du RGPD, éclairées par sa recommandation du 5 décembre 2013. Or, la formation restreinte rappelle que si les recommandations en matière de cookies ont évolué, les pratiques reprochées à la société ont continuellement été considérées comme non conformes par la CNIL et que cette position demeure inchangée.
67. En deuxième lieu, s’agissant des parcours reproduits par la délégation de contrôle, la formation restreinte relève qu’il ressort du procès-verbal de contrôle en ligne effectué le 7 octobre 2020 que lors d’un premier scénario, celle-ci a constaté qu’au moins 20 cookies poursuivant une finalité publicitaire avaient été déposés sur son terminal alors qu’elle n’avait pas exprimé son consentement. Elle observe qu’à l’occasion de son parcours, lorsque la délégation s’est rendue sur la page " x.com ", celle-ci a constaté l’affichage d’une fenêtre portant la mention " Vos données. Votre expérience " relative à l’utilisation de cookies par la société laquelle comportait un bouton " J’accepte " et un bouton " Gérer les paramètres ".
68. Après avoir cliqué sur le bouton " Gérer les paramètres ", la délégation a constaté l’apparition d’une interface permettant de paramétrer le dépôt de cookies, par finalités ou par partenaires grâce à des boutons poussoirs, lesquels étaient désactivés par défaut. La délégation n’a activé aucun de ces boutons puis a cliqué sur le bouton " Enregistrer et continuer " afin de poursuivre sa navigation. La formation restreinte constate qu’au cours de ce premier scénario de contrôle, la délégation de la CNIL a relevé le dépôt de 26 cookies, dont il ressort, au regard des informations transmises par la société au cours de l’instruction, que 7 d’entre eux poursuivaient une finalité publicitaire.
69. La formation restreinte note qu’au cours d’un second scénario, entamé après l’effacement des cookies au sein de son navigateur, la délégation a navigué sur le domaine " x.com ", afin de créer un compte de messagerie " x mail ". Comme lors du premier scénario, elle n’a pas exprimé son consentement au dépôt de cookies. La formation restreinte observe, ainsi qu’il ressort des pièces du dossier, qu’à mi-parcours, la délégation a constaté le dépôt de 26 cookies dont 12 poursuivaient une finalité publicitaire, selon les informations fournies par la société au cours de l’instruction. Elle relève qu’une fois son parcours de création de compte terminé, la délégation a constaté la présence de 47 cookies sur son terminal, dont 8 poursuivaient une finalité publicitaire, s’ajoutant donc aux 12 précédemment constatés. Au total, la délégation a constaté dans ce scénario le dépôt de 20 cookies à finalité publicitaire.
70. Elle considère donc que, contrairement à ce que soutient la société, la méthodologie suivie par la délégation de contrôle établit clairement qu’au moins 20 cookies poursuivant une finalité publicitaire ont été inscrits sur son terminal, sans consentement préalable.
71. La formation restreinte relève ensuite que dans sa réponse aux observations de la société, le rapporteur a écarté du périmètre du manquement les 103 cookies dont le dépôt avait été constaté par la délégation à partir d’une page n’appartenant pas aux domaines sous la responsabilité de la société. Enfin, elle observe que l’ensemble des pièces versées au dossier fait apparaitre, sans la moindre ambiguïté, que la délégation de contrôle n’a jamais exprimé son consentement au dépôt de cookies par quelque action que ce soit.
72. En second lieu, la formation restreinte rappelle que l’article 82 de la loi Informatique et Libertés exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur mais prévoit des cas dans lesquels certains traceurs bénéficient d’une exemption au consentement : soit lorsque celui-ci a pour finalité exclusive de permettre ou faciliter la communication par voie électronique, soit lorsqu’il est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
73. En l’espèce, les cookies à finalité publicitaire n’étant ni des traceurs ayant pour finalité de permettre ou faciliter la communication par voie électronique, ni n’étant strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur, ceux-ci ne peuvent être déposés ou lus sur le terminal de la personne, conformément à l’article 82 de la loi Informatique et Libertés, tant qu’elle n’a pas fourni son consentement.
74. Or, la formation restreinte observe qu’au cours des deux scénarios suivis par la délégation, de nombreux cookies nécessitant un consentement préalable ont été déposés sur son terminal sans qu’elle ait préalablement exprimé son accord.
75. Quand bien même la formation restreinte relève que la société a effectivement mis en place une interface permettant aux utilisateurs d’exprimer leur choix quant à l’inscription de cookies dans leur terminal par l’intermédiaire de boutons poussoirs, cela n’a pas empêché le dépôt de cookies alors même que la délégation n’a activé aucun de ces boutons. Elle considère que l’ineffectivité de cette interface emporte de graves conséquences pour l’utilisateur qui n’aura autorisé le dépôt d’aucun cookie puisque ce dernier ne peut pas raisonnablement penser que son choix ne sera pas respecté par la société.
76. En dernier lieu, s’agissant de la circonstance selon laquelle les cookies déposés sans consentement l’ont été par des tiers, la formation rappelle que le Conseil d’État a jugé (CE, 6 juin 2018, Editions Croque Futur, n° 412589, au Recueil), qu’au titre des obligations qui pèsent sur l'éditeur d’un site sur lequel sont déposés des " cookies tiers ", figurent celle de s'assurer auprès de ses partenaires, d’une part, qu'ils n'émettent pas, par l'intermédiaire de son site, des traceurs qui ne respectent pas la règlementation applicable en France et, d’autre part, celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements. Le Conseil d’État a en particulier jugé que " les éditeurs de site qui autorisent le dépôt et l’utilisation de tels "cookies " par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le "cookie ", notamment lorsque ce dernier conserve seul la maîtrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l'éditeur de site dans une telle hypothèse, figurent celle de s'assurer auprès de ses partenaires qu'ils n'émettent pas, par l'intermédiaire de son site, des "cookies" qui ne respectent pas la règlementation applicable en France et celle d'effectuer toute démarche utile auprès d'eux pour mettre fin à des manquements ".
77. En outre, comme elle l’a indiqué dans sa délibération SAN-2021-013 du 27 juillet 2021, la formation restreinte relève que si les recommandations émises par la formation plénière de la CNIL en matière de cookies ont évolué pour tenir compte des évolutions induites par le RGPD en matière de consentement notamment, ces évolutions n’ont pas d’incidence dans le cas d’espèce et il a continuellement été considéré, comme l’indiquait l’article 3 de la délibération n° 2013-378 du 5 décembre 2013 portant adoption d'une recommandation relative aux cookies et aux autres traceurs visés par l'article 32-II de la loi du 6 janvier 1978, que "lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II précité [actuel article 82 de la loi du 6 janvier 1978]".
78. Cette délibération précisait qu’il en est ainsi "des éditeurs de sites internet (ou des éditeurs d'application mobile par exemple) et de leurs partenaires (régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d'audience...). En effet, dans la mesure où les éditeurs de site constituent souvent l'unique point de contact des internautes et que le dépôt de cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l'information préalable et au recueil du consentement, explicités à l'article 2 de la présente recommandation ".
79. La formation restreinte souligne d’ailleurs qu’elle a, à plusieurs reprises, adopté des sanctions pécuniaires à l’encontre d’éditeurs de site pour des faits relatifs aux opérations de lecture et / ou d’écriture d’informations, y compris par des tiers, dans le terminal des utilisateurs visitant leur site, notamment dans la délibération n° SAN-2020-009 du 18 novembre 2020 et dans la délibération n° SAN-2020-013 du 7 décembre 2020.
80. En l’espèce, la société soutient qu’elle a déployé tous les moyens permettant de s’assurer que ses partenaires ne déposent pas de cookies par l’intermédiaire du site " x.com " sans se conformer à la réglementation applicable. Elle se prévaut à cet égard d’un document intitulé " Pratiques, améliorations et gouvernance mises en œuvre […] en matière de cookies ".
81. Ce document fait d’abord état d’un programme de gestion et d’intégrations de ses partenaires, prévoyant notamment que ceux-ci " peuvent uniquement s’appuyer sur le consentement collecté via la plateforme de gestion du consentement de x sur les sites détenus et opérés par x, pour pouvoir déposer ou accéder à des informations sur les terminaux des utilisateurs ".
82. Il est également précisé que " x a envoyé des enquêtes à ses partenaires afin de comprendre comment ils géraient les signaux de consentement de x lorsque x a estimé qu'il existait une ambiguïté potentielle ou une mauvaise interprétation des signaux qu'ils recevaient de x. x a exclu tous les partenaires des sites qu’elle détient et opère dès lors que x avait un motif raisonnable laissant penser que les pratiques de ces partenaires n'étaient pas conformes aux politiques et procédures de x. " Ce document fait ensuite état de diverses améliorations relatives aux pratiques en matière de cookies, dont la réévaluation des systèmes de publicité, un renforcement de la gouvernance, la mise en place d’un contrôle plus formel et fréquent des sites détenus et opérés par x.
83. La formation restreinte relève que, si l’ensemble de ces mesures ont abouti à ce que les partenaires de la société ne déposent plus de cookies sans le consentement de l’utilisateur, comme cela ressort du contrôle en ligne du 10 juin 2021, elles n’ont été déployées qu’après le premier contrôle en ligne du 7 octobre 2020, comme cela est d’ailleurs indiqué par la société dans ses écritures.
84. Elle considère que ces mesures sont sans incidence sur le fait que la société a permis, au moins jusqu’en octobre 2020, le dépôt de cookies soumis au recueil préalable du consentement des utilisateurs sans l’accord de ces derniers, en violation de l’article 82 de la " Loi Informatique et Libertés ".
85. Dans ces conditions, la formation restreinte considère que la société X a méconnu les dispositions de l’article 82 de la loi Informatique et Libertés.
En ce qui concerne l’obstacle au retrait, par l’utilisateur, de son consentement aux cookies
86. Le rapporteur relève qu’au cours des contrôles en ligne des 7 octobre 2020 et 10 juin 2021, lorsque la délégation a souhaité retirer son consentement au dépôt des cookies, les messages affichées par la société dans le cadre du retrait du consentement l’incitaient à ne pas retirer son consentement, sous peine de perdre définitivement l’accès à leur messagerie électronique " x mail ".
87. La société soutient quant à elle que ni la directive ePrivacy, ni le RGPD, ni l’article 82 de la loi Informatique et Libertés n’encadrent de manière précise la révocation du consentement au dépôt de cookies. Elle ajoute que les utilisateurs français avaient la possibilité de refuser le dépôt des cookies sans devoir renoncer à l’accès et aux produits x. Elle précise à cet égard qu’il était également possible pour les utilisateurs de révoquer leur consentement via la page principale du " Tableau de bord " X. La société souligne que, par parallélisme avec la pratique des " cookie wall ", aucun consensus n’existe pour considérer cette pratique comme illégale, qu’en tout état de cause, il existait des alternatives au service " x Mail " et que les personnes concernées pouvaient demander la portabilité de leurs données conformément à l’article 20 du RGPD.
88. La formation restreinte considère, en premier lieu, s’agissant du cadre juridique applicable en matière de retrait du consentement, que si l’article 82 de la loi Informatique et Libertés conditionne le dépôt de cookies au consentement de l’abonné ou de l’utilisateur, il offre nécessairement, de manière corrélative, le droit à l’intéressé de retirer son consentement et de revenir ainsi sur son choix d’accepter que des cookies soient déposés sur son terminal.
89. La formation restreinte rappelle que la directive " ePrivacy " prévoit en son article 2 (f), que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD.
90. Ainsi, depuis l’entrée en application du RGPD, le " consentement " prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11, du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.
91. À cet égard, le considérant 42 de ce Règlement prévoit que : " le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ".