Cookies : la CNIL sanctionne GOOGLE à hauteur de 150 millions d’euros

Le manquement à la loi Informatique et Libertés

La CNIL a reçu plusieurs plaintes dénonçant les modalités de refus des cookies sur les sites web google.fr et youtube.com.

En juin 2021, elle a effectué un contrôle en ligne sur ces sites et a constaté que, s’ils proposent un bouton permettant d’accepter immédiatement les cookies, les sites ne mettent pas en place de solution équivalente (bouton ou autre) pour permettre à l’internaute de refuser aussi facilement le dépôt des cookies. Plusieurs clics sont nécessaires pour refuser tous les cookies, contre un seul pour les accepter.

La formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a considéré que rendre le mécanisme de refus plus complexe revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton « j’accepte ».

La formation restreinte a considéré que ce procédé porte atteinte à la liberté du consentement des internautes et constitue une violation de l’article 82 de la loi Informatique et Libertés puisqu’il n’est pas aussi simple de refuser les cookies que de les accepter.

Les sanctions

La formation restreinte de la CNIL a sanctionné la société GOOGLE LLC d’une amende de 90 millions d’euros et la société GOOGLE IRELAND LIMITED d’une amende de 60 millions d’euros, rendues publiques.

Elle a notamment justifié ces montants par le nombre de personnes concernées et par les bénéfices considérables que les sociétés tirent des revenus publicitaires indirectement générés à partir des données collectées par les cookies.

La formation restreinte a également relevé le fait que les services de la CNIL avaient déjà, en février 2021, attiré l’attention des sociétés GOOGLE sur ce manquement. Elle a également rappelé que la CNIL avait communiqué à de nombreuses reprises sur le fait qu’il doit être aussi simple de refuser les cookies que de les accepter.

En complément des amendes administratives, la formation restreinte a également adopté une injonction sous astreinte afin que les sociétés mettent à disposition des internautes situés en France, dans un délai de 3 mois à compter de la notification de la décision, un moyen permettant de refuser les cookies aussi simplement que celui existant pour les accepter, afin de garantir la liberté de leur consentement. Dans le cas contraire, les sociétés s’exposeront au paiement d’une astreinte de 100 000 euros par jour de retard.

Une compétence de la CNIL

La CNIL est matériellement compétente pour contrôler et sanctionner les opérations liées aux cookies déposés par les sociétés sur les terminaux des internautes situés en France. Le mécanisme de coopération prévu par le RGPD (mécanisme de « guichet unique ») n’a pas vocation à s’appliquer dans ces procédures dans la mesure où les opérations liées à l’utilisation des cookies relèvent de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés. 

La formation restreinte a considéré que la CNIL est également territorialement compétente en application de l’article 3 de la loi Informatique et Libertés car le recours aux cookies est effectué dans le « cadre des activités » de la société GOOGLE FRANCE qui constitue « l’établissement » sur le territoire français des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED.

Elle a également estimé qu’elles sont conjointement responsables dès lors qu’elles déterminent toutes les deux les finalités et les moyens liés à l’usage des cookies.

Note : La société GOOGLE LLC, établie en Californie, développe le moteur de recherche Google Search et YouTube. La société GOOGLE IRELAND LIMITED, dont le siège est en Irlande, se présente comme le siège européen du groupe Google. La société GOOGLE FRANCE est l’établissement en France de la société GOOGLE LLC.