Amendes records prononcées par la CNIL à l’encontre de Google et Amazon pour non-respect de la législation sur les cookies
Corinne Thiérache, Carole Bui et Alice Marie
Le 7 décembre 2020, la formation restreinte de la CNIL a prononcé des sanctions particulièrement lourdes à l’égard des deux géants du Web : 35 millions d’euros d’amende pour la société AMAZON EUROPE CORE et une amende totale de 100 millions d’euros pour les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED déclarées conjointement responsables.
Ces sanctions visent à punir plusieurs manquements d’une particulière gravité en raison de leur impact sur la population française, puisque 50 millions d’utilisateurs seraient concernés. En effet, la CNIL a constaté le dépôt de cookies publicitaires sur les ordinateurs d’utilisateurs à partir du site amazon.fr et du moteur de recherche google.fr sans consentement préalable de l’utilisateur et sans information satisfaisante avec en outre, dans le cas de google.fr, une défaillance partielle du mécanisme d’opposition pour la personnalisation de la publicité lors d’une recherche.
Par ailleurs, la formation restreinte a rappelé dans ces décisions que la CNIL est matériellement compétente pour contrôler et sanctionner les cookies déposés sur les ordinateurs des utilisateurs résidant en France car ces opérations relèvent en réalité de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés. En conséquence, le mécanisme de coopération prévu par le RGPD (mécanisme dit de « guichet unique ») en vertu duquel l’autorité de protection des données du pays européen dans lequel la société mise en cause est installée prend en charge le dossier (en l’espèce le Luxembourg pour les activités européennes d’Amazon et l’Irlande pour Google) n’avait pas vocation à s’appliquer dans cette procédure.
Il est à noter que ces obligations relatives aux cookies préexistaient au RGPD et ne font donc pas partie de celles qui ont été clarifiées par la CNIL dans les nouvelles lignes directrices et la recommandation publiées le 1er octobre dernier.
Malgré la cessation du dépôt automatique de cookies en septembre 2020 sur amazon.fr et google.fr, le bandeau d’information présent sur ces sites ne permet toujours pas d’informer les internautes suffisamment clairement des finalités de ces cookies ni de la possibilité qu’ils ont de les refuser. C’est pour cela que la CNIL a enjoint les sociétés de modifier leur bandeau d’information pour le mettre en conformité avec l’article 82 de la loi Informatique et Libertés dans un délai de trois mois à compter de la notification, avec une astreinte de 100 000 euros par jour de retard.
Et maintenant ? Ces décisions sont susceptibles de faire l’objet d’un recours devant le Conseil d’État. Néanmoins, le succès d’un tel recours est loin d’être garanti, dans la mesure où le Conseil d’Etat avait déjà validé le 19 juin dernier la sanction de 50 millions d’euros prononcée à l’encontre de la société GOOGLE LLC.
L’articulation entre les différents textes va donc vraisemblablement générer de nombreuses difficultés pour les entreprises qui utilisent des cookies et autres traceurs. Toute procrastination en termes de mise en conformité avec la législation sur les cookies pourrait coûter très cher…
Corinne Thiérache Associée, Carole Bui, Avocat, et Alice Marie, Juriste du Département Droit des technologies et du numérique.