Au cours de ses contrôles effectués sur les sites google.fr et amazon.fr, la Commission nationale de l'informatique et des libertés (Cnil) a constaté que des cookies, dont plusieurs à but publicitaire, étaient automatiquement déposés sur l'ordinateur des utilisateurs, sans action de leur part. La formation restreinte de la Cnil a ainsi relevé trois violations, concernant les sociétés Google LLC et Google Ireland Limited, et deux concernant la société Amazon, à l'article 82 de la loi Informatique et Libertés.
Dépôt de cookies sans consentement préalable de l'utilisateur
La Cnil s'est aperçue que lorsqu'un utilisateur se rendait sur la page google.fr et sur l'une des pages du site amazon.fr, plusieurs cookies poursuivant une finalité publicitaire étaient automatiquement déposés sur son ordinateur sans action de sa part, alors même que ce type de cookies, qui plus est n'est pas essentiel au service, ne peut être déposé sans que l'utilisateur ait exprimé son consentement. L'autorité a alors considéré que les sociétés n'avaient pas respecté l'exigence prévue par l'article 82 de la loi Informatique et Libertés de recueil préalable du consentement avant le dépôt de cookies non essentiels au service. S'agissant d'Amazon, la Cnil a ajouté que le fait de déposer des cookies concomitamment à l'arrivée sur le site était une pratique qui, par nature, était incompatible avec un consentement préalable.
Un défaut d'information des utilisateurs
S'agissant tout d'abord d'Amazon, la Cnil a relevé que les informations fournies aux internautes n'étaient ni claires ni complètes. Elle a ensuite relevé que le bandeau d'information affiché par la société ne contenait qu'une description générale et approximative des finalités de l'ensemble des cookies déposés, qu'à sa lecture, l'utilisateur n'était pas à même de comprendre que les cookies déposés sur son ordinateur avaient pour principal objectif de lui afficher des publicités personnalisées et que le bandeau n'indiquait pas non plus à l'utilisateur son droit de refuser ces cookies et les moyens à sa disposition pour l'exercer. La formation restreinte a également noté que le manquement de la société à ses obligations était encore plus manifeste dans le cas des utilisateurs qui se rendaient sur le site amazon.fr après avoir cliqué sur une annonce publiée sur un autre site web, les mêmes cookies étant alors déposés sans aucune information délivrée aux internautes.
Concernant google.fr, le bandeau d'information affiché en pied de page ne fournit à l'utilisateur, selon la Commission, aucune information relative aux cookies, alors déjà déposés sur son ordinateur, dès son arrivée sur le site.
La formation restreinte a donc estimé que l'information fournie par les sociétés ne permettait pas aux utilisateurs français d'être préalablement et clairement avisés sur le dépôt de cookies sur leur ordinateur ni sur leurs objectifs et encore moins sur les moyens mis à leur disposition pour les refuser.
Google : défaillance partielle du mécanisme “d'opposition”
La Cnil a relevé un troisième manquement à l'article 82 de la loi Informatique et Libertés de la part des sociétés filiales de Google. Ayant retenu que, lorsqu'un utilisateur désactivait la personnalisation des annonces sur la recherche Google, un des cookies publicitaires demeurait stocké sur son ordinateur et continuait de lire des informations à destination du serveur auquel il est rattaché, la formation restreinte a estimé que le mécanisme d'opposition était partiellement défaillant.
Sanctions
Au regard de ces éléments, la Cnil, dans sa décision du 7 décembre 2020, a condamné la société Amazon Europe Core à une amende publique de 35 millions d'euros, la société Google LLC à une amende publique de 60 millions d'euros et la société Google Ireland Limited à une amende publique de 40 millions d'euros, soit un total de 100 millions d'euros. Les sociétés doivent modifier leur bandeau d'information sous trois mois, sous peine d'une astreinte journalière de 100 000 euros.
