Cookies : la CNIL sanctionne GOOGLE par une amende de 100 millions d’euros

La directive ePrivacy prévoyant par ailleurs, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application –ne prévoyant pas de dispositif de “guichet unique”–, c’est ce mécanisme qui doit être mis en œuvre, et non ceux prévus par le RGPD.

GOOGLE FRANCE n’est pas considéré comme responsable des traitements de cookies déposés via google.fr

Conformément à l’article 3 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la CNIL considère que les traitements de données à caractère personnel mis en œuvre dans le cadre d’opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche Google Search sont constitutifs de “traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement (…) sur le territoire français, que le traitement ait lieu ou non en France”.

Pour l’autorité française, ces traitements sont effectués dans le cadre des activités de la société GOOGLE FRANCE sur le territoire français. Dès lors, la loi française est applicable.

Pour autant, la CNIL considère que GOOGLE FRANCE n’est pas le responsable de ces traitements de données à caractère personnel. Ce sont les entités irlandaise, GOOGLE IRELAND LIMITED (GIL) et américaine, GOOGLE LLC (GLLC) qui sont considérées par la CNIL comme responsables conjoints du traitement.

Et ce alors même que GOOGLE soutenait que seul GOOGLE IRELAND LIMITED était responsable des traitements. Un contrat intra-groupe de sous-traitance avait même été signé entre GOOGLE IRELAND LIMITED (en sa qualité de responsable de traitement) et GOOGLE LLC (en sa qualité de sous-traitant).

La CNIL rappelle ainsi que la qualification juridique des parties en matière de traitement de données personnelles résulte d’une situation de fait, pouvant faire l’objet d’une requalification par une autorité de contrôle.

Pour parvenir à une telle qualification, la CNIL met en avant que selon ses analyses, les deux sociétés déterminent les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs de Google Search résidant en France. Elle constate notamment :

• que la société GOOGLE LLC conçoit et construit la technologie des produits GOOGLE en ce qui concerne les cookies déposés et lus lors de l’utilisation de Google Search ;
• que la société GOOGLE LLC est représentée dans les organes adoptant les décisions relatives au déploiement des produits GOOGLE au sein de l’Espace Économique Européen et en Suisse ; cette représentation ayant une influence significative sur les décisions prises ; et
• que le DPO de GOOGLE IRELAND ainsi que ses adjoints sont localisés aux Etats-Unis, afin d’être « au plus près des décideurs », indice du poids important que peut avoir GOOGLE LLC dans la détermination des choix opérés par les entités établies en Europe de la firme américaine.

Plusieurs manquements relatifs au dépôt et/ou à l’usage de cookies

Un dépôt de cookies publicitaires sans consentement préalable des internautes

Dans le cadre du contrôle mené le 16 mars 2020 par la CNIL auprès de GOOGLE, il a été constaté que 7 cookies étaient immédiatement déposés, lors de la visite d’un internaute sur le site web google.fr.

Parmi ces cookies, 4 poursuivaient une finalité publicitaire, alors qu’ils auraient dû être soumis au consentement préalable de l’internaute, en vertu des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Un mécanisme d’opposition aux cookies défaillant

La CNIL a par ailleurs constaté que le mécanisme d’opposition aux cookies mis en place par GOOGLE était partiellement défaillant : même en cas d’opposition aux « cookies publicitaires », un cookie publicitaire continuait d’être systématiquement lu par le serveur du domaine auquel est lié le cookie (par exemple google.com ou google.fr) lors de chaque nouvelle interaction par l’internaute avec le domaine concerné.

Des lacunes en matière d’information sur les cookies

Des manquements constatés à date du contrôle

Lors du contrôle opéré par la CNIL, en mars 2020, le site google.fr affichait à première visite d’un internaute une bannière informative comme suit :

Cette bannière, qui se contentait de fournir aux internautes un “Rappel concernant les règles de confidentialité de Google“, permettait à ces derniers d’accéder, en cliquant sur le bouton “Consulter maintenant” à de plus amples informations.

L’autorité de contrôle française constate, sans trop de difficultés, que la bannière de premier niveau ne permettait pas aux internautes, lors de leur arrivée sur google.fr, d’obtenir une information sur l’existence et l’utilisation de cookies. Or, il ressort des dispositions de l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés que les accès ou inscriptions de cookies dans le terminal d’un utilisateur ne peuvent avoir lieu qu’à la condition que ce dernier y ait consenti après avoir reçu une “information claire et complète relative aux finalités des cookies déposés et des moyens dont il dispose pour s’y opposer”.

En outre, la CNIL constate que le second niveau d’information, accessible après avoir cliqué sur le bouton “Consulter maintenant“, ne contenait aucun développement complémentaire dédié à l’usage des cookies et autres traceurs, “malgré une information générale relative aux données à caractère personnel traitées par les services Google“.

Des manquements qui perdurent malgré une série de modifications opérées par GOOGLE

La délibération de la CNIL fait état de modifications ayant été apportées par GOOGLE suite à l’engagement de la procédure de sanction de l’autorité française. Ces modifications ont abouti à la mise en production par GOOGLE d’un nouveau mécanisme d’information sur son moteur de recherche google.fr depuis le 10 septembre 2020, comme suit :

Bien que reconnaissant que la mise en production de cette nouvelle bannière informative “constitue une avancée indéniable par rapport aux précédents bandeaux d’information“, la formation restreinte de la Commission Nationale de l’Informatique et des Libertés considère que l’information délivrée par GOOGLE sur son moteur de recherche n’est toujours pas claire et complète au regard de ses obligations réglementaires, et ce pour plusieurs motifs :

• cette information ne renseigne pas l’utilisateur sur l’ensemble des finalités des cookies déposés ;
• l’exposé des différentes finalités mentionnées dans ce bandeau demeure trop général pour que les utilisateurs puissent comprendre aisément et clairement pour quels usages spécifiques les cookies sont déposés ; et
•  l’information fournie est incomplète dès lors que les utilisateurs ne sont toujours pas renseignés sur leur possibilité de refuser ces cookies, ni sur les moyens mis à leur disposition pour cela.

Une amende record, assortie d’une injonction sous astreinte de mise en conformité

C’est une amende record que prononce la CNIL à l’encontre du groupe GOOGLE, d’un montant cumulé de 100M d’euros. Il s’agit de la sanction la plus élevée jamais prononcée par la CNIL depuis sa création en 1978. Cette amende est assortie d’une injonction de mise en conformité, sous astreinte de 100 000€ par jour de retard (montant le plus élevé pouvant être prononcé par la CNIL), à l’issue d’un délai de 3 mois à compter de la notification de la délibération.

La CNIL prononce des sanctions distinctes à l’encontre des deux responsables de traitement conjoints, justifiées notamment « au regard des responsabilités respectives des société » et « de leurs capacités financières » : GOOGLE LLC réalisant un chiffre d’affaire de 160 milliards de dollars en 2019, contre 38 milliards d’euros pour GOOGLE IRELAND LIMITED en 2018.

Ces sanctions sont prononcées en vertu des pouvoirs étant conférés à la CNIL par l’article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés :

“A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83”.

C’est en vertu de ce même article que la CNIL a pris en compte différents critères tels que fixés par l’article 83 du RGPD pour parvenir à définir le niveau de ses amendes, dont notamment :

• le nombre très important de personnes concernées par ce manquement : le moteur de recherche google.fr occupant une part de marché supérieure à 90% en France ; et
• les « bénéfices considérables » tirés de ce manquement par GOOGLE.

Notons par ailleurs que la CNIL a refusé, malgré les demandes formulées par GOOGLE, que le critère du « degré de coopération » prévu à l’article 83 du RGPD soit dans le cas d’espèce considéré comme une circonstance atténuante à la caractérisation du manquement et puisse ainsi justifier une diminution significative du montant de la sanction globale. Pour la CNIL, la coopération dont a fait preuve GOOGLE est à peine conforme à ce qu’elle est en droit d’attendre d’un responsable de traitement. Elle rappelle à cet égard que la coopération avec l’autorité de contrôle constitue d’abord une obligation prévue par la loi. Notons d’ailleurs que GOOGLE a refusé de communiquer à la CNIL certains éléments financiers dans le cadre de son instruction.