En matière de cookies et autres traceurs publicitaires, la CNIL se montre de plus en plus sévère. 

En effet, par deux décisions du 7 décembre dernier, la CNIL a prononcé d’importantes sanctions financières à l’encontre de Google (Google LLC et Google Ireland Limited) et Amazon (Amazon Europe Core).

Ainsi, Google a été sanctionnée à hauteur de 100 millions d’euros et Amazon à hauteur de 35 millions d’euros. Il s’agit d’amandes d’une ampleur quasiment inédite en Europe, justifié par la taille de ces entreprises et l’importance des infractions constatées. Ainsi, l’amende contre Google est la plus importante jamais infligée.

La CNIL a considéré que ces deux entreprises n’ont pas respecté les conditions d’utilisation des cookies sur les sites Internet et notamment celles tenant à l’information et au consentement des personnes visitant leurs sites Internet.

Un dépôt de cookies sans recueil du consentement

La CNIL reproche aux deux entreprises américaines d’avoir déposé un grand nombre de cookies et autres traceurs publicitaires sur les postes informatiques des internautes visitant leurs sites, en violation des règles d’information et de recueil du consentement des personnes concernées. 

Google et Amazon déposaient en effet automatiquement des cookies à vocation publicitaire et ce, sans la moindre action de la part des internautes et donc en l’absence de tout consentement des personnes intéressées. 

Or, la CNIL rappelle que, s’agissant de cookies publicitaires, le recueil du consentement des personnes concernées est un préalable nécessaire. 

A ce titre, la CNIL a considéré que les informations fournies aux utilisateurs sous forme de bandeau d’information générale sont peu claires et incomplètes. 

Les internautes n’étaient ainsi pas en mesure d’être clairement informés des cookies déposés sur leur ordinateurs ni des finalités précises de ces derniers. Enfin, les internautes ne pouvaient refuser le dépôt de ces traceurs sur leurs postes informatiques.

La CNIL compétente matériellement en matière de cookies

Dans ces deux décisions, la CNIL rappelle qu’elle est effectivement compétente pour prononcer ces sanctions contre des sociétés de droit étranger en matière de cookies déposés sur des ordinateurs en France. 

Le mécanisme de coopération prévu par le RGPD qui met en place un guichet unique dans le pays dans lequel les sociétés sont enregistrées n’est pas applicable ici.

En effet, la CNIL rappelle, à juste titre, que les manquements relevés par les sociétés en cause concernent une violation de l’article 82 de la Loi Informatique et Liberté (Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés) issu de la directive « e-privacy » portant précisément sur les cookies et les traceurs publicitaires et que cela n’est pas visé par le RGPD. 

Ainsi, s’agissant de l’application des dispositions de la Loi Informatique et Liberté, la CNIL demeure compétente pour sanctionner des sociétés étrangères domiciliées dans un autre Etat et ce, quand bien même ce serait une autre autorité de contrôle d’un autre Etat-membre qui serait compétente en application du RGPD.

De lourdes sanctions

Dans ces deux décisions, la CNIL rappelle que les pratiques de Google et Amazon ont touché des millions d’utilisateurs en France et que cela a permis à ces sociétés de générer des revenus publicitaires très importants en France. 

Les deux entreprises doivent modifier leur bandeau d'information dans un délai de 3 mois, avec une astreinte de 100.000 euros par jour de retard après l'expiration de ce délai. Elles peuvent également former un recours auprès du Conseil d’État.

La mise en œuvre de nouvelles règles

Dans son analyse de l’appréciation des sanctions infligées, la CNIL a rappelé qu’elle avait tenu compte des modifications opérées par Google et Amazon sur leurs sites respectifs. En effet, depuis septembre 2020, Google et Amazon ne déposent plus automatiquement de cookies sans le consentement préalable des personnes concernées. 

Toutefois, s’agissant d’Amazon, la CNIL relève que le nouveau bandeau d’information ne permet toujours pas aux internautes de comprendre que les cookies sont utilisés pour afficher de la publicité personnalisée et que ces derniers sont en droit de les refuser. Cela pourrait théoriquement donner lieu à de nouvelles sanctions à l’encontre d’Amazon.

Les nouvelles lignes directrices et recommandations de la CNIL en matière de cookies

Ces deux décisions s’inscrivent dans la politique de la CNIL qui a fait du contrôle des cookies un axe fort de son action. 

En effet, la CNIL a publié de nouvelles recommandations le 1er octobre 2020 en matière de cookies. 

Ainsi, la CNIL recommande aux opérateurs de proposer un bouton « tout accepter » mais également un bouton « tout refuser » aux internautes s’agissant du dépôt de cookies. 

Boriana Guimbertau, associée, et Anthony Canivez,  avocat, au sein de l’équipe IP du cabinet FTPA