AVIS JURIDIQUE EXCLUSIF – Google et Amazon sanctionnés par la CNIL pour mauvaise utilisation des cookies. François-Pierre Lani, Avocat Associé, et Gaétan Dufoulon, Avocat, Derriennic Associés reviennent pour Solutions Numériques sur les griefs de la CNIL. Ils relèvent un durcissement de la législation en matière de cookies.
Si ces manquements avaient été relevés il y a encore cinq ou six ans, les textes en vigueur à l’époque n’auraient pas permis à la CNIL de prononcer une amende d’un montant supérieur à 150 000 €.
François-Pierre Lani et Gaétan Dufoulon, Derriennic Associés
Le 10 décembre 2020, la CNIL a rendu publiques deux délibérations du 7 décembre 2020, condamnant, d’une part, les sociétés Google LLC et Google Ireland Limited à des amendes de 60 et 40 millions d’euros ; et, d’autre part, la société Amazon Europe Core à une amende de 35 millions d’euros. Ces sanctions étaient motivées par des manquements à la législation applicable en matière de cookies.
Google et Amazon dans le viseur de la CNIL
La CNIL a mené, au cours de l’année 2020, une série de contrôles en ligne portant sur les sites amazon.fr et google.fr.
Elle a constaté que lorsqu’un internaute se rendait sur l’un de ces deux sites, des cookies publicitaires étaient déposés sur son terminal avant toute action de sa part, et ce sans qu’il ne soit correctement averti d’un tel dépôt.
Pour rappel, l’article 82 de la loi « Informatique et libertés » du 6 janvier 1978 impose d’informer les personnes et de recueillir leur consentement préalablement à l’utilisation des cookies, et de prévoir un mécanisme leur permettant de s’opposer à cette utilisation.
Défaut de recueil du consentement
La CNIL a constaté qu’Amazon déposait « plus de 40 cookies poursuivant une finalité publicitaire » sur le terminal de l’utilisateur, que celui-ci se rende sur la page d’accueil du site Amazon.fr ou bien qu’il se rende sur une page « produit » du site via une annonce. Pour sa part, le site google.fr déposait quatre cookies publicitaires.
Dans les deux cas, l’utilisateur n’avait aucun moyen de s’opposer à ce dépôt, qui avait lieu avant toute action de sa part, fut-ce une simple poursuite de la navigation.
Pour la CNIL, cela a caractérisé un manquement à l’article 82 de la loi « Informatique et libertés ».
Défaut d’information précise
S’agissant du site google.fr, aucune information relative au dépôt des cookies n’était fournie aux personnes concernées.
Si la CNIL a bien relevé la présence d’un bandeau d’information sur le site amazon.fr, faisant état d’une description « générale et approximative des finalités de l’ensemble des cookies » (« offrir et améliorer nos services »), elle a jugé cette information incomplète, ne permettant pas à l’utilisateur de comprendre le type de contenus et d’annonces susceptibles d’être personnalisés en fonction de son comportement, ni de connaitre les moyens dont l’utilisateur dispose pour refuser l’inscription des cookies. De plus, la CNIL a noté que lorsqu’un internaute se rendait sur le site amazon.fr par le biais d’une annonce publiée sur un site tiers, aucune information ne lui était communiquée.
Dans un cas comme dans l’autre, la CNIL a relevé un manquement à l’obligation d’information édictée par la loi « Informatique et libertés ».
Défaut de mécanisme d’opposition
La CNIL a constaté qu’après avoir désactivé la personnalisation des annonces sur la recherche Google, des cookies à finalités publicitaires demeuraient stockés sur son équipement terminal.
Il s’est, là encore, s’agit, selon la CNIL, d’un manquement à l’article 82 de la loi « Informatique et libertés ».
Des sanctions sévères
Tirant les conséquences des manquements relevés ci-dessus, la CNIL a prononcé les amendes administratives suivantes :
- 60 millions d’euros à l’encontre de la société Google LLC
- 40 millions d’euros à l’encontre de la société Google Ireland Limited
- 35 millions d’euros à l’encontre de la société Amazon Europe Core ;
Ces amendes s’accompagnent d’injonctions de correction des manquements, assorties d’astreintes de 100 000 € par jour de retard.
Il s’agit là de sanctions particulièrement lourdes, parmi les plus sévères prononcées par une autorité de contrôle européenne, et dont il est à noter qu’elles ne résultent pas de manquements au RGPD.
Si ces manquements avaient été relevés il y a encore cinq ou six ans, les textes en vigueur à l’époque n’auraient pas permis à la CNIL de prononcer une amende d’un montant supérieur à 150 000 €.
De plus, l’état du droit en matière de cookies est, aujourd’hui, moins clément avec les entités utilisant des cookies qu’il ne l’était à l’époque des faits. En effet, il est désormais nécessaire de recueillir un consentement répondant aux exigences du RGPD, lequel ne saurait être déduit d’une simple poursuite de la navigation de l’utilisateur.
On peut donc constater un durcissement de la législation en matière de cookies, qui doit inciter les éditeurs de sites internet à être particulièrement rigoureux quant à la mise en place de leurs dispositifs d’information, de recueil du consentement et d’opposition.
Une interrogation subsiste néanmoins quant au fait de savoir s’il est possible de mettre en œuvre des dispositifs respectueux de la vie privée des internautes, sans pour autant entraver leur navigation et réduire drastiquement le taux d’utilisation des cookies soumis au régime du consentement.
