La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET et Monsieur Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision no 2021-108C du 20 mai 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles depuis les domaines [V].fr et [W].com ou portant sur des données à caractère personnel collectées à partir de ces derniers ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 28 juillet 2021 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux sociétés [X] et [Y] le 2 septembre 2021 ;

Vu les observations écrites versées par les conseils des sociétés [X] et [Y] le 8 octobre 2021 ;

Vu la réponse de la rapporteure à ces observations notifiées le 22 octobre 2021 aux conseils des sociétés ;

Vu les observations écrites versées par les conseils des sociétés [X] et [Y] reçues le 12 novembre 2021 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 25 novembre 2021 :

– Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants des sociétés [X] et [Y] :

– […] ;

En qualité d’interprètes des sociétés [X] et [Y] :

– […] ;

Les sociétés [X] et [Y] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société [X] est une société à responsabilité limitée ayant son siège social aux États-Unis. Depuis sa création en […], elle a développé de nombreux services à destination des particuliers et des entreprises, tels que […]. Elle possède plus de 70 bureaux implantés dans une cinquantaine de pays et emploie plus de 135 000 personnes à travers le monde. Depuis août 2015, la société [X] est une filiale détenue à 100% par la société [X’]., maison-mère du groupe [V].

2. En 2020, la société [X’]. a réalisé un chiffre d’affaires de plus de 182 milliards de dollars, tandis que la société [X] a réalisé un chiffre d’affaires de plus de […] de dollars. Le moteur de recherche [V] a généré plus de 104 milliards de dollars de revenus, tandis que la publicité via les services du groupe [V] a généré des revenus de près de 147 milliards de dollars et, via les services de [W], de près de 20 milliards.

3. La société [Y] (ci-après la société [Y] ) se présente comme étant le siège du groupe [V] pour ses activités dans l’espace économique européen et en Suisse. Établie à Dublin (Irlande), elle emploie environ […] personnes. Elle a réalisé un chiffre d’affaires de […] d’euros en 2019.

4. La société [Z] SARL est l’établissement français du groupe [V]. Filiale détenue à 100 % par la société [X], son siège social est situé à Paris. Elle emploie environ […] salariés et a réalisé un chiffre d’affaires de […] d’euros en 2019.

5. Le 16 mars 2020, dans le cadre d’une précédente procédure diligentée à l’encontre des sociétés [X] et [Y], une délégation de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a effectué un contrôle en ligne sur le site web [V].fr . Cette mission avait notamment pour objet de vérifier le respect, par les sociétés [X] et [Y], des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ) et notamment de son article 82.

6. En application de l’article 22 de la loi Informatique et Libertés , la présidente de la CNIL a désigné un rapporteur le 8 juin 2020.

7. Par délibération n° SAN-2020-012 du 7 décembre 2020, la formation restreinte a :

– prononcé à l’encontre de la société [X] et de [Y] des amendes administratives d’un montant respectif de 60 millions et 40 millions d’euros pour manquement à l’article 82 de la loi Informatique et Libertés ;

– prononcé à l’encontre des sociétés [X] et [Y] une injonction de mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés , en particulier :

o informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site [V].fr :

– des finalités de tous les cookies soumis au consentement,

– des moyens dont elles disposent pour les refuser ;

– assorti l’injonction d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération ;

– rendu publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

8. Le 29 janvier 2021, les sociétés ont formé un recours en référé devant le Conseil d’État, sollicitant la suspension de l’injonction. Cette demande a été rejetée par une décision du 4 mars 2021 (CE, juge des référés, 4 mars 2021, N° 449212).

9. Parallèlement, les sociétés ont formé un recours de plein contentieux à l’encontre de la délibération du 7 décembre 2020. La procédure est toujours pendante devant le Conseil d’État.

10. Par délibération n° SAN-2021-004 du 30 avril 2021, la formation restreinte a considéré que les sociétés avaient satisfait à l’injonction dans le délai imparti, dans la mesure où les personnes se rendant sur le site [V].fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site .

11. Les 18 mars, 31 mars, 2 avril et 28 avril 2021, la CNIL a été saisie de plusieurs plaintes dénonçant les modalités de refus des cookies des sites internet [V].fr et [W].com mis à la disposition des utilisateurs situés en France.

12. En application de la décision n° 2021-108C du 20 mai 2021 de la présidente de la Commission, les services de la CNIL ont procédé à un contrôle en ligne, le 1er juin 2021, sur les sites web [V].fr et [W].com .

13. Cette mission avait notamment pour objet de vérifier le respect, par les sociétés [X] et [Y] (ci-après les sociétés ), des dispositions de la loi Informatique et Libertés .

14. Dans le cadre du contrôle en ligne, la délégation a effectué des constatations lorsque l’utilisateur se rend sur les sites [V].fr et [W].com ; lorsqu’il clique sur le bouton Personnaliser ; lorsqu’il clique sur le lien Règles de confidentialité et lorsqu’il clique sur Conditions d’utilisation .

15. Le 3 juin 2021, la délégation a notifié aux sociétés le procès-verbal dressé dans le cadre du contrôle en ligne, en leur demandant d’indiquer, pour chacun des cookies mentionnés dans ledit procès-verbal, sa finalité et de fournir une volumétrie du nombre de visiteurs uniques quotidiens pour les sites [V].fr et [W].com au cours des douze derniers mois depuis la France.

16. Les 21 juin et 9 juillet 2021, la CNIL a été saisie de deux nouvelles plaintes dénonçant les modalités de refus des cookies du site web [V].fr .

17. Par courrier du 9 juillet 2021, la société [Y] a répondu à la demande de la délégation, indiquant apporter une réponse sans préjudice de [ses] droits au titre du RGPD, en particulier du mécanisme de guichet unique et du rôle d’autorité chef de file de la Data Protection Commission irlandaise (“DPC“) dans le cadre d’enquêtes . Elle a précisé agir en qualité de responsable du traitement des données à caractère personnel s’agissant des cookies déployés sur les domaines [V].fr et [W].com pour les utilisateurs situés au sein de l’espace économique européen et en Suisse. Elle a transmis en outre la finalité de chacun des cookies déposés sur le terminal des utilisateurs et identifiés dans le procès-verbal de constatations. Elle a en revanche refusé de fournir la volumétrie du nombre de visiteurs uniques de ces deux sites web au cours des douze derniers mois depuis la France, considérant qu’il n’était pas nécessaire de fournir ces informations à ce stade.

18. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 28 juillet 2021, sur le fondement de l’article 22 de la loi Informatique et Libertés .

19. À l’issue de son instruction, la rapporteure a fait signifier en main propre, le 2 septembre 2021, aux conseils des sociétés et par courrier électronique à leurs représentants, un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés qu’elle estimait constitué en l’espèce.

20. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre des deux sociétés, ainsi qu’une injonction de mettre en conformité le traitement consistant en des opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs situés en France, sur les sites internet [V].fr et [W].com , avec les dispositions de l’article 82 de la loi Informatique et Libertés , assortie d’une astreinte. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

21. Par courrier du 9 septembre 2021, les sociétés, par l’intermédiaire de leurs conseils, ont sollicité un délai supplémentaire pour fournir leurs observations en réponse. Par courrier du 15 septembre 2021, le président de la formation restreinte leur a accordé un délai supplémentaire jusqu’au 8 octobre 2021.

22. Par courrier du 27 septembre 2021 adressé au président de la formation restreinte, les sociétés, par l’intermédiaire de leurs conseils, ont sollicité la suspension de la procédure dans l’attente de la décision du Conseil d’État dans le cadre du recours diligenté contre la délibération n° SAN-2020-012 du 7 décembre 2020. Le 30 septembre 2021, les conseils des sociétés ont informé le président de la formation restreinte de la création d’un groupe de travail par le Comité européen à la protection des données (ci-après le CEPD ), destiné à coordonner la réponse aux plaintes relatives aux bannières cookies, déposées par l’association None of Your Business (ci-après l’association NOYB ) auprès de différentes autorités de protection des données européennes.

23. Par courrier du 4 octobre 2021, la président de la formation restreinte a rejeté la demande de suspension de la procédure formulée par les sociétés.

24. Le 8 octobre 2021, les sociétés ont produit des observations en réponse au rapport de sanction.

25. La rapporteure a répondu aux observations des sociétés le 22 octobre 2021.

26. Le 27 octobre 2021, par l’intermédiaire de leurs conseils, les sociétés ont formulé une demande d’extension du délai de quinze jours prévu par l’article 40 du décret n° 2019-536 du 29 mai 2019 pour produire leurs observations en réponse, une demande de report de la séance de la formation restreinte fixée au 25 novembre 2021 et une demande pour que la séance se tienne à huis clos.

27. Le 29 octobre 2021, le président de la formation restreinte a accordé un délai supplémentaire de huit jours aux sociétés pour produire leurs secondes observations et a refusé de reporter la date de la séance de la formation restreinte et de tenir ladite séance à huis clos.

28. Le 12 novembre 2021, les sociétés ont produit de nouvelles observations en réponse à celles de la rapporteure.

29. Les sociétés et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la demande de suspension de la procédure

30. Les sociétés sollicitent que la formation restreinte sursoie à statuer dans l’attente de la décision qui sera rendue par le Conseil d’État dans le cadre du recours formé à l’encontre de la délibération n° SAN-2020-012 du 7 décembre 2020 et dans l’attente des conclusions du nouveau groupe de travail du CEPD mentionné ci-avant. Elles fondent leur demande sur l’article 66 du règlement intérieur de la CNIL et sur le principe de bonne administration de la justice. Les sociétés font notamment valoir qu’elles demandent au Conseil d’État de se prononcer sur plusieurs moyens qui auront des conséquences directes et décisives sur la présente procédure de sanction. Elles soutiennent en particulier devant le Conseil d’État que la CNIL n’était pas compétente pour prononcer des sanctions administratives à leur encontre, alors au surplus que le cadre juridique applicable en matière de cookies n’était pas encore consolidé et que les sanctions prononcées sont manifestement injustifiées et disproportionnées.

31. En premier lieu, la formation restreinte observe que l’article 66 du règlement intérieur de la CNIL dispose que Les séances de la formation restreinte sont présidées par son président ou, en cas d’empêchement, par son vice-président. Le président de séance dirige les débats et assure la police de la séance. Il peut ordonner toute suspension qu’il juge utile . La suspension évoquée dans le cadre de cet article ne concerne pas la suspension de la procédure de sanction, mais vise la suspension de la séance de la formation restreinte.

32. En deuxième lieu, les sociétés ont déjà fait valoir ces mêmes arguments auprès du président de la formation restreinte dans leur courrier du 27 septembre 2021, lequel a refusé de faire droit à la demande de suspension par courrier du 4 octobre, en considérant que la décision d’engager une procédure de sanction appartient au président de la Commission et qu’il n’entre pas dans les pouvoirs du président de la formation restreinte d’en ordonner la suspension. Le président de la formation restreinte rappelait également dans ce courrier qu’en application de l’article L. 4 du code de justice administrative, la requête en annulation formée contre la délibération de la formation restreinte du 7 décembre 2020 devant le Conseil d’État n’a pas d’effet suspensif et, qu’au surplus, la date à laquelle cette juridiction examinera ce dossier n’était pas connue. Il ajoutait enfin que la création d’un groupe de travail au sein du CEPD n’était pas de nature, en tout état de cause, à justifier une suspension de la procédure de sanction.

33. En troisième lieu, la décision du Conseil d’État pourrait ne pas intervenir avant plusieurs mois.

34. En dernier lieu, s’agissant de la création du groupe de travail par le CEPD concernant les bandeaux cookies, la formation restreinte relève que l’issue de ces travaux n’est pas connue à ce jour.

35. La formation restreinte considère dès lors qu’il n’y a pas lieu de surseoir à statuer.

B. Sur le grief tiré de la violation du principe non bis in idem

36. Les sociétés soutiennent que la formation restreinte ne peut se prononcer une nouvelle fois sur les mêmes faits que ceux concernés par les délibérations n° SAN-2020-012 du 7 décembre 2020 et n° SAN-2021-004 du 30 avril 2021, sans violer le principe non bis in idem. Elles font valoir que les parties concernées par cette procédure et les précédentes délibérations précitées sont identiques, que les deux procédures concernent les mêmes faits et qu’une décision définitive, la délibération n° SAN-2021-004 du 30 avril 2021, est intervenue.

37. En premier lieu, la formation restreinte relève que, dans sa délibération n° SAN-2020-012 du 7 décembre 2020, elle a retenu un manquement à l’article 82 de la loi Informatique et Libertés compte tenu du défaut d’information des personnes, du défaut de recueil du consentement des personnes avant le dépôt des cookies sur leur terminal et du caractère partiellement défaillant du mécanisme d’opposition mis en place par [V]. Elle a également prononcé à leur encontre une injonction de mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés , en particulier :

o Informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site [V].fr :

– des finalités de tous les cookies soumis au consentement,

– des moyens dont elles disposent pour les refuser .

38. La formation restreinte relève ainsi que la première procédure ayant abouti à la délibération précitée comportait une injonction relative à l’information des utilisateurs sur les finalités des cookies soumis au consentement et sur les moyens de refuser les cookies. La procédure actuelle porte sur les modalités de refus elles-mêmes, et non uniquement sur l’information. Ainsi, les deux procédures ne concernent pas les mêmes faits.

39. En deuxième lieu, les sociétés font valoir que, aux termes de la délibération n° SAN-2020-012 du 7 décembre 2020, la formation restreinte leur a enjoint de se conformer à l’article 82 de la loi Informatique et Libertés dans toutes ses dispositions et de fournir notamment, mais non exclusivement en raison de l’utilisation des termes en particulier , des informations sur les finalités des cookies et sur les moyens de s’y opposer. Elles ajoutent que, par la délibération n° SAN-2021-004 du 30 avril 2021, la formation restreinte aurait décidé que le mécanisme de consentement et de rejet des cookies, dans son entièreté, était conforme à l’article 82 de la loi Informatique et Libertés et que les sociétés auraient satisfait à l’injonction dans le délai imparti.

40. La formation restreinte ne souscrit pas à cette analyse. Le rapport de sanction de la procédure antérieure ne portait que sur l’information mise en place par les sociétés sur le bandeau cookies, sur le dépôt de cookies sans consentement et sur la défaillance partielle du mécanisme d’opposition . Il ne fait donc aucun doute que la formation restreinte n’a pas pu se prononcer sur ce dont elle n’était pas saisie dans le cadre de la procédure contradictoire. Ainsi, si les mots en particulier peuvent porter à confusion, lorsque la formule est prise de manière isolée, la formation restreinte rappelle que cette injonction ne saurait être lue de manière décorrélée de l’ensemble de la décision correspondante. Or, dans le cadre de cette précédente procédure, la formation restreinte ne s’est prononcée que sur le périmètre précité et l’injonction n’a été prononcée qu’en lien avec l’information des personnes. Les modalités de refus des opérations de lecture et/ou d’écriture, qui sont l’objet de la présente procédure de sanction, ne rentraient pas dans le champ de cette injonction. La délibération n° SAN-2021-004 du 30 avril 2021 devant nécessairement être lue à la lumière de la délibération n° SAN-2020-012 du 7 décembre 2020, il ne saurait être considéré que l’injonction prononcée portait sur l’ensemble des obligations résultant de l’article 82 de la loi Informatique et Libertés .

41. À cet égard, la formation restreinte relève que, dans deux courriers du 17 février 2021 adressés aux sociétés, le secrétaire général de la CNIL a rappelé que, comme cela ressort des motifs et du dispositif de la délibération n° SAN-2020-012 du 7 décembre 2020, la conformité attendue dans la cadre de la procédure d’injonction portait uniquement sur l’information fournie aux personnes sur la page d’accueil du site [V].fr . Il était également indiqué que, s’agissant de l’obligation d’informer les personnes concernées de manière claire et complète des moyens mis à leur disposition pour refuser les cookies, cette question est difficilement détachable de la question des modalités de refus sur le premier niveau, par un bouton refuser ou une solution équivalente, qui n’est pas dans le champ de l’injonction . Dans une perspective d’accompagnement – et au regard des évolutions attendues au titre de l’entrée en vigueur du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ), éclairées par la recommandation du 17 septembre 2020, et pour lesquelles une période d’adaptation avait été laissée par la CNIL aux acteurs jusqu’au 1er avril 2021 – le courrier comportait une analyse excédant le périmètre de l’injonction prononcée par la formation restreinte, qui portait sur les éléments fournis par les sociétés en réponse à l’injonction, éléments qui dépassaient eux-mêmes le périmètre du dispositif de la délibération. Dans ce cadre, il était rappelé aux sociétés qu’il doit être aussi facile de donner son consentement que de refuser de le donner ou de le retirer et il leur était indiqué qu’il leur reviendrait d’insérer sur le bandeau d’information un bouton Je refuse à côté du bouton J’accepte , tout en précisant qu’elles pouvaient bien entendu changer les intitulés de ces boutons tant qu’ils permettent à l’utilisateur de comprendre clairement et directement les conséquences de ses choix . Si ce courrier ne revêt aucune valeur impérative, la formation restreinte relève qu’aux termes d’un courrier que [Y] a adressé au président de la formation restreinte le 30 mars 2021, la société avait répondu : nous partageons l’analyse des services de la CNIL selon laquelle le mécanisme de consentement de [V] n’entre pas dans le périmètre de l’injonction prononcée par la formation restreinte dans sa délibération du 7 décembre 2020 .

42. Dès lors, les sociétés ne sauraient affirmer que la formation restreinte a validé le nouveau bandeau cookies mis en place par leurs soins à la suite de la première procédure de sanction, alors même qu’elles avaient elles-mêmes pleinement conscience que le mécanisme de consentement et de rejet des cookies, dans son entièreté, n’était pas l’objet de cette procédure précédente et que la CNIL a rappelé à différentes occasions qu’elle ne se prononçait pas sur ce point dans le cadre de la précédente procédure.

43. La formation restreinte relève en effet que, dans son communiqué de presse relatif à la clôture de l’injonction du 4 mai 2021, la CNIL avait également pris soin de préciser que : Saisie avant la fin de la période d’adaptation laissée aux acteurs par la CNIL, la formation restreinte n’a pas examiné la conformité du bandeau d’information fourni sur le site [V].fr aux nouvelles règles en matière de cookies, portant notamment sur le consentement, qui sont éclairées par les lignes directrices et la recommandation du 17 septembre 2020. Cette décision de clôture ne préjuge donc pas de l’analyse de la CNIL quant à la conformité de [V].fr à ces exigences, selon lesquelles l’utilisateur doit désormais être en mesure de refuser les cookies aussi facilement qu’il peut les accepter. La CNIL se réserve désormais la possibilité de contrôler ces modalités de refus et, si nécessaire, de mobiliser l’ensemble de sa chaîne répressive .

44. En dernier lieu, la formation restreinte relève que la présente procédure vise à la fois les sites internet [V].fr et [W].com , alors que la précédente procédure ne portait que sur le site [V].fr .

45. La formation restreinte considère dès lors que le grief tiré de la violation du principe non bis in idem doit être écarté.

C. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de guichet unique prévu par le RGPD

46. Les traitements objets du contrôle diligenté le 1er juin 2021 par une délégation de la CNIL sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, ils entrent dans le champ d’application matériel de la directive ePrivacy .

47. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés , au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications électroniques.

48. Aux termes de l’article 16 de la loi Informatique et Libertés , la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi . Au titre de l’article 20, paragraphe III, de cette même loi, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte .

49. La rapporteure considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par les sociétés dans les terminaux des utilisateurs des sites [V].fr et [W].com en France.

50. Les sociétés contestent la compétence de la CNIL et estiment qu’elles devraient se voir appliquer le cadre procédural prévu par le RGPD, c’est-à-dire le mécanisme de coopération entre les autorités de contrôle, dit mécanisme de guichet unique , prévu au chapitre VII du Règlement. En application de ce mécanisme, l’autorité de contrôle compétente pour connaître des faits en cause ne serait pas la CNIL mais l’autorité de protection des données irlandaise, la Data Protection Commissionner (ci-après la DPC ), qui devrait agir en qualité d’autorité chef de file à l’égard du déploiement des cookies, celle-ci étant compétente selon les sociétés aussi bien au titre du RGPD que de la directive ePrivacy .

51. À ce soutien, les sociétés invoquent notamment le lien inextricable entre le RGPD et la directive ePrivacy , considérant que l’application du RGPD ne peut être exclue lorsque l’article 82 de la loi Informatique et Libertés s’applique. Elles invoquent également le principe de lex specialis – lex generalis en vertu duquel, selon elles, la directive ePrivacy précise et complète le RGPD. Les sociétés considèrent que l’absence de règles spécifiques relatives à la détermination de la compétence de l’autorité de contrôle en cas de traitements transfrontaliers relevant du champ d’application de la directive ePrivacy devrait se voir suppléée par l’application du cadre procédural prévu par le RGPD. Elles soutiennent que l’application du mécanisme de guichet unique est non seulement conforme à l’intention du législateur européen, mais aussi à l’interprétation du CEPD, et correspond en outre à la position adoptée par plusieurs autorités européennes. Elles relèvent à cet égard que le pouvoir laissé aux États membres quant au choix de l’autorité nationale chargée de veiller au respect de la directive ePrivacy ne fait pas obstacle à l’application du mécanisme de guichet unique prévu par le RGPD, dans la mesure où des accords de coopération entre ces autorités ont été conclus dans plusieurs États membres afin que les autorités de protection des données et les autorités chargées de l’application de la directive ePrivacy , s’il s’agit d’autorités différentes, puissent exercer conjointement des pouvoirs d’exécution sur une question relevant du champ d’application du RGPD et de la directive ePrivacy et ainsi participer au mécanisme de guichet unique.

52. Les sociétés ajoutent en outre que l’annonce du CEPD du 27 septembre 2021 relative à la création d’un groupe de travail sur les bandeaux cookies en réponse au nombre important de plaintes récemment déposées auprès des autorités de contrôle par l’association NOYB constitue une preuve selon laquelle le CEPD considère que les violations liées aux cookies relèvent directement du champ d’application du RGPD et, par conséquent, du mécanisme de guichet unique .

[… passage central omis : décision trop longue pour une cellule …]

111. Ainsi, dans l’information qu’elles proposent aux utilisateurs français, les sociétés [X] et [Y] n’opèrent toujours aucune distinction dans leur présentation des cookies utilisés par le groupe [V].

112. En deuxième lieu, la formation restreinte avait également relevé, dans sa délibération précitée, que malgré la participation non contestable de la société [Y] aux différentes étapes et instances liées à la définition des modalités de mise en œuvre des cookies déposés sur [V], l’organisation matricielle décrite par les sociétés […] a mis en évidence que la société [X] est également représentée dans les organes adoptant les décisions relatives au déploiement des produits au sein de l’EEE et en Suisse et aux traitements de données à caractère personnel des utilisateurs y résidant et qu’elle y exerce une influence significative ou encore que le délégué à la protection des données désigné par la société [Y] […] ainsi que ses DPO adjoints sont basés en Californie en qualité d’employés de la société [X] .

113. En troisième lieu, la formation restreinte avait considéré que, bien qu’en vertu d’une lecture formelle du contrat de sous-traitance du 11 décembre 2018, la société [X] agirait en qualité de sous-traitant de la société [Y] dans le traitement des données des utilisateurs européens recueillies via les cookies, l’implication réelle de la société [X] dans le traitement en cause va bien au-delà de celle d’un sous-traitant qui se contenterait de procéder à des opérations de traitement pour le compte de la société [Y] et sur ses seules instructions .

114. Au vu des éléments au dossier, la formation restreinte maintient que la société [X] joue un rôle fondamental dans l’ensemble du processus décisionnel portant sur les traitements en cause. Elle détermine également les moyens des traitements étant donné que, comme évoqué ci-avant, c’est elle qui conçoit et construit la technologie des cookies déposés sur les terminaux des utilisateurs européens. La formation restreinte relève que, si elle ne s’était prononcée que s’agissant du moteur de recherche [V] dans sa délibération n° SAN-2020-012 du 7 décembre 2020, elle considère que le même raisonnement est applicable, sur la base de ces mêmes éléments, pour [W], notamment dans la mesure où, lorsque l’utilisateur clique sur Règles de confidentialité et conditions d’utilisation à partir de [W].com , il est renvoyé vers les règles de confidentialité et conditions d’utilisation du groupe [V].

115. Il résulte de l’ensemble de ce qui précède que les sociétés [X] et [Y] déterminent conjointement les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] et de [W].

G. Sur le manquement aux obligations en matière de cookies

116. Aux termes de l’article 82 de la loi Informatique et Libertés , tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. […] .

117. La directive ePrivacy prévoit quant à elle en son article 2, f), que le consentement d’un utilisateur ou d’un abonné correspond au consentement de la personne concernée figurant dans la directive 95/46/CE, à laquelle s’est substitué le RGPD.

118. Ainsi, depuis l’entrée en application du RGPD, le consentement prévu à l’article 82 précité doit s’entendre au sens de l’article 4, paragraphe 11, du RGPD, c’est-à-dire qu’il doit être donné de manière libre, spécifique, éclairée et univoque et se manifester par un acte positif clair.

119. À cet égard, le considérant 42 de ce Règlement prévoit que : le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice .

120. En l’espèce, dans le cadre du contrôle en ligne du 1er juin 2021, la délégation a constaté que, pour donner son consentement à la lecture et/ou à l’écriture d’informations dans son terminal, l’utilisateur se rendant sur la page d’accueil des sites [V].fr et [W].com doit uniquement cliquer sur le bouton J’accepte de la fenêtre surgissante, ce qui fait disparaître cette fenêtre et lui permet de poursuivre sa navigation. En revanche, l’utilisateur se rendant sur ces mêmes pages d’accueil et souhaitant refuser les cookies doit cliquer sur le bouton Personnaliser de cette première fenêtre, ce qui le fait accéder, à la fois sur les sites [V].fr et [W].com , à une interface lui proposant de choisir d’activer ou de désactiver les cookies, sur laquelle il a la possibilité d’effectuer différentes actions.

121. La rapporteure relève, à titre d’éclairage, qu’aux termes de ses lignes directrices 5/2020 sur le consentement au sens du Règlement (UE) 2016/679, adoptées le 4 mai 2020, le CEPD a rappelé que l’adjectif libre implique un choix et un contrôle réel pour les personnes concernées (§13).

122. De même, dans le cadre de sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs , la Commission a considéré, compte tenu des textes applicables précités, que le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité .

123. Sur le fondement des constatations effectuées dans le cadre du contrôle en ligne, la rapporteure observe ainsi que, si le bandeau affiché sur les sites [V].fr et [W].com contient un bouton permettant d’accepter immédiatement les cookies, aucun moyen analogue n’est offert à l’utilisateur pour pouvoir refuser, aussi facilement, le dépôt de ces cookies. Pour refuser les cookies, il doit effectuer au moins cinq actions (le premier clic sur le bouton Personnaliser , puis un clic sur chacun des trois boutons pour sélectionner Désactivé – chaque bouton correspondant à la personnalisation de la recherche , l’ historique [W] et la personnalisation des annonces – et enfin un clic sur Confirmer ), contre une seule action pour les accepter. Un tel mécanisme ne présente donc pas, selon la rapporteure, la même facilité que celle permettant d’exprimer son consentement, en méconnaissance des exigences légales de liberté du consentement, qui impliquent de ne pas inciter l’internaute à accepter les cookies plutôt qu’à les refuser. Elle considère ainsi que rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter, revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton j’accepte . La rapporteure en conclut que les modalités de refus des cookies mises en œuvre par les sociétés [X] et [Y] sur les sites [V].fr et [W].com ne sont pas conformes aux dispositions de l’article 82 de la loi Informatique et Libertés telles qu’éclairées par les exigences renforcées en matière de consentement posées par le RGPD.

124. Les sociétés considèrent que ni la directive ePrivacy , ni le RGPD, ni l’article 82 de la loi Informatique et Libertés ne prévoient que l’action de refuser les cookies doit être aussi simple que de les accepter. Elles ajoutent que, pendant de nombreuses années, la CNIL n’avait elle-même pas déduit ce principe alors même que la réglementation en cause demeurait inchangée depuis l’entrée en application du RGPD. Elles relèvent que la CNIL ne saurait, au travers de ses lignes directrices et recommandation, introduire de nouvelles exigences relatives au refus de consentement et considèrent qu’il appartient à chaque responsable de traitement de choisir la modalité de recueil du consentement la plus appropriée. En cela, les sociétés considèrent que le mécanisme de recueil du consentement mis en place sur les sites [V].fr et [W].com respecte d’ores et déjà les dispositions de l’article 82 de la loi Informatique et Libertés . Les sociétés considèrent que le fait de ne pas proposer, au premier niveau d’information, un bouton Tout refuser n’est pas contraire au principe de liberté du consentement dans la mesure où les utilisateurs ont bien la possibilité de refuser les cookies en cliquant sur le bouton Personnaliser .

125. En premier lieu, la formation restreinte rappelle qu’en application de l’article 8 I, 2°, b) de la loi Informatique et Libertés , la CNIL établit et publie des lignes directrices, recommandations ou référentiels destinés à faciliter la mise en conformité des traitements de données à caractère personnel avec les textes relatifs à la protection des données à caractère personnel […] .

126. C’est dans ce cadre que la CNIL a pris la délibération n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs), qui prévoyait en son article 2, qu’il doit être aussi facile de refuser ou de retirer son consentement que de le donner ; puis les délibérations n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux cookies et autres traceurs ) et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux cookies et autres traceurs . Ces instruments visent à interpréter les dispositions législatives applicables et à éclairer les acteurs sur la mise en place de mesures concrètes permettant de garantir le respect de ces dispositions, afin qu’ils mettent en œuvre ces mesures ou des mesures d’effet équivalent. En ce sens, il est précisé dans les lignes directrices que celles-ci ont pour objet principal de rappeler et d’expliciter le droit applicable aux opérations de lecture et/ou d’écriture d’informations […] dans l’équipement terminal de communications électroniques de l’abonné ou de l’utilisateur, et notamment à l’usage des témoins de connexion .

127. Comme indiqué ci-avant, la Commission a considéré, dans le cadre de sa recommandation du 17 septembre 2020, que le responsable de traitement doit offrir aux utilisateurs tant la possibilité d’accepter que de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité .

128. S’agissant des modalités de refus possibles, dans cette même recommandation, la Commission a préconisé fortement que le mécanisme permettant d’exprimer un refus de consentir aux opérations de lecture et/ou d’écriture soit accessible sur le même écran et avec la même facilité que le mécanisme permettant d’exprimer un consentement. En effet, elle estime que les interfaces de recueil du consentement qui nécessitent un seul clic pour consentir au traçage tandis que plusieurs actions sont nécessaires pour paramétrer un refus de consentir présentent, dans la plupart des cas, le risque de biaiser le choix de l’utilisateur, qui souhaite pouvoir visualiser le site ou utiliser l’application rapidement.

Par exemple, au stade du premier niveau d’information, les utilisateurs peuvent avoir le choix entre deux boutons présentés au même niveau et sur le même format, sur lesquels sont inscrits respectivement tout accepter et tout refuser , autoriser et interdire , ou consentir et ne pas consentir , ou toute autre formulation équivalente et suffisamment claire. La Commission considère que cette modalité constitue un moyen simple et clair pour permettre à l’utilisateur d’exprimer son refus aussi facilement que son consentement .

129. La formation restreinte considère que la CNIL s’est bornée, dans sa recommandation évoquée ci-dessus, à éclairer les obligations prévues par les législateurs français et européen, en tirant notamment toutes les conséquences du principe de liberté du consentement tel que défini à l’article 4, paragraphe 11, du RGPD, et en les appliquant aux hypothèses de l’acceptation et du refus par l’utilisateur au dépôt de cookies sur son terminal. En effet, ce principe de liberté du consentement implique désormais que l’utilisateur bénéficie d’une véritable liberté de choix , comme souligné au considérant 42 du RGPD, et donc que les modalités qui lui sont proposées pour manifester ce choix ne soient pas biaisées en faveur du consentement. Ainsi que le CEPD l’a rappelé dans ses lignes directrices sur le consentement, adoptées le 4 mai 2020, l’adjectif libre implique un choix et un contrôle réel pour les personnes concernées.

130. Il apparaît ainsi que la CNIL n’a pas créé dans sa recommandation de nouvelles obligations à la charge des acteurs mais s’est bornée à illustrer concrètement comment l’article 82 de la loi doit trouver à s’appliquer.

131. En deuxième lieu, la formation restreinte relève que la position de la CNIL sur ce point, selon laquelle il doit être aussi simple pour les utilisateurs de refuser les cookies que d’y consentir, figurait déjà à l’article 2 des lignes directrices du 4 juillet 2019 – abrogées par celles du 17 septembre 2020 – et qu’elle a été entérinée par le Conseil d’État. En effet, saisi d’un recours pour excès de pouvoir formé contre ces premières lignes directrices, le Conseil d’État a jugé, dans sa décision Association des agences-conseils en communication, que la CNIL qui, en indiquant qu’il devait « être aussi facile de refuser ou de retirer son consentement que de le donner », s’est bornée à caractériser les conditions du refus de l’utilisateur, sans définir de modalités techniques particulières d’expression d’un tel refus, n’a entaché sa délibération d’aucune méconnaissance des règles applicables en la matière (CE, 19 juin 2020, n° 434684, T., pt 15).

132. La formation restreinte considère que cette lecture s’impose d’autant plus au regard des conclusions du rapporteur public sur cet arrêt, lequel relevait : Comme l’indique la CNIL, les lignes directrices attaquées n’imposent aucune modalité technique de recueil de ce refus. Elles se bornent à exiger, de manière générale et à juste titre, qu’il ne soit pas plus compliqué de refuser que d’accepter (CE, conclusions du rapporteur public sur l’arrêt n° 434684, p. 17).

133. En troisième lieu, la formation relève qu’en l’espèce, les utilisateurs résidant en France se rendant sur le moteur de recherche [V] et/ou sur [W] doivent effectuer une seule action pour accepter les cookies, alors qu’ils doivent en effectuer cinq pour les refuser. Il n’est donc pas aussi simple de refuser les cookies que de les accepter.

134. Or, il ressort de plusieurs études récentes que les organismes ayant mis en place un bouton tout refuser sur l’interface de recueil du consentement au premier niveau ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. Ainsi, selon le baromètre Privacy – édition 2021 publié par la société COMMANDERS ACT, le taux de consentement sur ordinateur est passé de 70% à 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De même, selon une étude 366-Kantar, il apparaît que 41% des internautes en France ont refusé, systématiquement ou partiellement, le dépôt de cookies en juin 2021.

135. La formation restreinte considère ainsi que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton Tout accepter . En effet, un utilisateur d’internet est généralement conduit à consulter de nombreux sites. La navigation sur internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur Personnaliser et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, les sociétés offrent un choix entre l’acceptation ou le refus des cookies, mais les modalités par lesquelles ce refus peut être exprimé, dans le contexte de la navigation sur internet, biaise l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.

136. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés , interprétées à la lumière du RGPD, est constitué, dans la mesure où les sociétés ne mettent pas à disposition des utilisateurs situés en France, sur les sites internet [V].fr et [W].com , un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage.

III. Sur les mesures correctrices et la publicité

137. L’article 20, paragraphe III, de la loi Informatique et Libertés dispose : Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]

7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plu