Sanction de GOOGLE par la CNIL notamment pour avoir déposé des cookies publicitaires sans consentement préalable ni information satisfaisante

15 janvier 2021

Depuis la mise en place du RGPD, l’utilisation des cookies est obligatoirement soumise au consentement de l’utilisateur “dès lors qu’ils ne sont pas strictement nécessaires au fonctionnement du site concerné”.

Il est ainsi obligatoire pour un site web d’informer l’internaute sur la manière dont ces traceurs seront utilisés, mais aussi d’obtenir le consentement de ce dernier (pour une validité de 13 mois au maximum). L’internaute doit également avoir la possibilité de refuser l’utilisation des cookies, sans se voir interdire l’accès au service demandé.

Le 10 décembre 2020, la formation restreinte de la CNIL a condamné GOOGLE LLC et GOOGLE IRELAND LIMITED à une amende totale de 100 millions d’euros pour manquements à l’article 82 de la loi Informatique et Liberté du 6 janvier 1978. La formation restreinte a reconnu trois violations :

• un dépôt de cookies sans recueil préalable du consentement de l’utilisateur lorsque celui-ci se rend sur la page google.fr, et notamment des cookies poursuivant une finalité publicitaire. Il est interdit de déposer ce genre de cookie sans autorisation préalable de l’utilisateur ;
• un défaut d’information des utilisateurs au motif que lorsqu’un utilisateur arrive sur la page google.fr, un bandeau d’information intitulé « Rappel concernant les règles de confidentialité de Google » s’affiche proposant à l’utilisateur soit de cliquer sur « Me le rappeler plus tard », soit de choisir « Consulter maintenant ». Cependant, le bandeau et la page « Consulter maintenant » ne font pas état des cookies ayant déjà été installés sur l’ordinateur de l’utilisateur dès son arrivée sur la page. Ce système ne permet donc pas une information claire et préalable des utilisateurs sur les dépôts de cookies, sur les objectifs de ces cookies et sur leur possibilité de les refuser ;
• une défaillance partielle du mécanisme d’opposition, car même si un utilisateur désactive la personnalisation des annonces sur la recherche Google, un cookie publicitaire reste stocké sur son ordinateur à son insu et contre sa volonté.

La CNIL a justifié le montant de cette amende par la gravité des atteintes à la loi Informatique et Liberté, par la popularité du moteur de recherche Google Search en France qui a permis que ces pratiques touchent 50 millions d’utilisateurs, et enfin par l’importance des bénéfices réalisés grâce aux données collectées par les cookies publicitaires.

Cette amende s’accompagne d’une injonction de régularisation sous astreinte dans un délai de 3 mois. En cas de non-respect, 100 000 euros par jour de retard seront dus.

Il sera rappelé que dans le cadre de son plan d’action sur le ciblage publicitaire et pour tenir compte de l’entrée en application du RGPD, la CNIL a publié le 1^er octobre 2020 ses lignes directrices modificatives ainsi qu’une recommandation portant sur l’usage de cookies et autres traceurs. La CNIL a demandé aux acteurs de se conformer aux règles ainsi clarifiées, en estimant que cette période d’adaptation ne devrait pas dépasser six mois.

Source : Délibération n°SAN-2020-012 du 7 décembre 2020