La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Dominique CASTERA, Anne DEBET et Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu l’ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2019-224C du 29 novembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles à partir du domaine  » […].fr  » ou portant sur des données à caractère personnel collectées à partir de ce dernier ;

Vu la décision n° 2020-042C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société Y ;

Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 mars 2020 ;

Vu le rapport de Monsieur Éric PÉRÈS, commissaire rapporteur, notifié à la société X le 17 juillet 2020 ;

Vu les observations écrites versées par le conseil de la société X le 15 septembre 2020 ;

Vu la réponse du rapporteur à ces observations notifiée à la société X le 9 octobre 2020 ;

Vu les nouvelles observations écrites versées par le conseil de la société X, reçues le 2 novembre 2020 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu le courrier adressé par la société X au président de la formation restreinte le 17 novembre 2020 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 12 novembre 2020 :

– Monsieur Éric PÉRÈS, commissaire, entendu en son rapport ;

En qualité de représentants de la société X :

– […]

La société X ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X (ci-après  » la société  » ou  » X « ) est une société de droit luxembourgeois dont le siège social est situé […], faisant partie du groupe Z. Elle a pour principale activité l’exploitation des sites web européens  » […]  » qui permettent la vente en ligne de biens marchands. Pour les besoins de ses activités notamment en France, la société exploite le site web  » […].fr  » accessible à partir de l’adresse URL https://www.[…].fr/. Pour l’année 2019, elle a réalisé un chiffre d’affaires d’environ 7,7 milliards d’euros.

2. En application des décisions n° 2019-224C du 29 novembre 2019 et n° 2020-042C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ), une délégation de la CNIL a mené les opérations de contrôle suivantes :

– trois contrôles en ligne portant sur le site […].fr effectués les 12 décembre 2019, 6 mars 2020 et 19 mai 2020 ;

– un contrôle réalisé le 30 janvier 2020 dans les locaux de la société Y, établissement français du groupe Z ;

– […]

3. Ces missions avaient pour objet de vérifier le respect, par la société, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 « ). En particulier, il s’agissait de procéder à des investigations en lien avec les traitements consistant en des opérations d’accès ou d’inscription déposés sur le terminal des internautes résidant en France lors de leur visite sur le site web […].fr.

4. Durant ces investigations, plusieurs échanges sont intervenus entre, d’une part, les sociétés X et Y et, d’autre part, la délégation de contrôle de la CNIL.

5. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Éric PÉRÈS en qualité de rapporteur, le 23 mars 2020, sur le fondement de l’article 22 de la loi du 6 janvier 1978.

6. À l’issue de son instruction, le rapporteur a fait signifier par huissier de justice à la société X, le 17 juillet 2020, un rapport détaillant le manquement à la loi  » Informatique et Libertés  » qu’il estimait constitué en l’espèce. Était également jointe au rapport une convocation à la séance de la formation restreinte du 15 octobre 2020, indiquant à la société qu’elle pouvait produire ses observations en réponse au plus tard le 8 septembre 2020.

7. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la société X une amende administrative ainsi qu’une injonction, assortie d’une astreinte, de mettre le traitement en conformité avec les dispositions de l’article 82 de la loi  » Informatique et Libertés « . Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

8. Par courrier du 19 aout 2020, la société a sollicité auprès du président de la formation restreinte un délai supplémentaire pour produire ses observations en réponse au rapport du rapporteur. Le 1er septembre 2020, le président de la formation restreinte a accordé un délai supplémentaire d’une semaine à la société.

9. Le 15 septembre 2020, par l’intermédiaire de son conseil, la société a produit des observations en réponse au rapport du rapporteur et a formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos. Elle a renouvelé sa demande le 13 octobre 2020.

10. Par courrier électronique du 24 septembre 2020, sur le fondement de l’article 40, alinéa 4, du décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi  » Informatique et Libertés  » (ci-après  » le décret du 19 mai 2019 « ), le rapporteur a demandé au président de la formation restreinte un délai supplémentaire de neuf jours pour répondre aux observations de la société, qui lui a été accordé le 28 septembre 2020. La société en a été informée le même jour.

11. Le 1er octobre 2020, le secrétaire général de la CNIL a informé la société de ce que la séance de formation restreinte initialement prévue le 15 octobre était reportée au 12 novembre 2020.

12. Le rapporteur a répondu aux observations de la société le 9 octobre 2020.

13. Le 22 octobre 2020, le président de la formation restreinte a fait droit à la demande de huis clos formulée par la société au motif que […]

14. Le 2 novembre 2020, la société a présenté de nouvelles observations en réponse à celles du rapporteur.

15. Le 4 novembre 2020, la société a sollicité le report de la séance de la formation restreinte prévue le 12 novembre suivant. Par courrier du 5 novembre, le président de la formation restreinte a refusé de faire droit à cette demande.

16. La société et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte du 12 novembre 2020.

17. Le 17 novembre 2020, la société a, par un courrier adressé au président de la formation restreinte, indiqué que certains de ses représentants assistant à la séance par le biais d’un système de visioconférence n’avaient pas pu entendre l’intégralité des échanges entre leurs conseils et le rapporteur, […].

II. Motifs de la décision

A. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de  » guichet unique  » prévu par le RGPD

18. Aux termes de l’article 16 de la loi  » Informatique et Libertés « ,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi « . Au titre de l’article 20, paragraphe III, de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes […] 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.  »

19. Aux termes de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après  » la directive « ePrivacy » « )  » Les États membres garantissent que le stockage d’informations, ou l’obtention de l’accès à des informations déjà stockées, dans l’équipement terminal d’un abonné ou d’un utilisateur n’est permis qu’à condition que l’abonné ou l’utilisateur ait donné son accord, après avoir reçu, dans le respect de la directive 95/46/CE, une information claire et complète, entre autres sur les finalités du traitement […] »

20. Ces dispositions ont été transposées en droit interne à l’article 82 de la loi  » Informatique et Libertés « , au sein du chapitre IV de cette loi, relatif aux  » Droits et obligations propres aux traitements dans le secteur des communications électroniques « . Cet article prévoit que  » Tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

21. Le rapporteur considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et engager une procédure de sanction concernant les opérations d’accès ou d’inscription d’informations mises en œuvre par la société dans les terminaux des utilisateurs du site […].fr en France.

22. La société X conteste la compétence de la CNIL. Elle considère que seule l’autorité luxembourgeoise de protection des données (Commission nationale pour la protection des données, ci-après  » la CNPD « ) est compétente pour engager une procédure de sanction et éventuellement prononcer une amende administrative à son encontre en cas de méconnaissance de ses obligations en matière de cookies.

23. Elle soutient tout d’abord que ses pratiques en matière de cookies doivent être examinées dans le cadre des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après  » RGPD « ) en raison des liens étroits entre ce texte et la directive  » ePrivacy ».

24. A l’appui de son argumentation, la société fait valoir le caractère indissociable de l’inscription de cookies sur les terminaux des utilisateurs de l’utilisation subséquente des données collectées par ces cookies pour les finalités poursuivies par le responsable de traitement. […].

25. La société note en outre que tant la décision de la présidente de la CNIL du 29 novembre 2019 d’ouvrir une procédure de contrôle que les correspondances échangées avec la CNIL dans le cadre de ces contrôles mentionnent expressément que l’objet des contrôles est notamment d’évaluer la conformité des pratiques de la société au RGPD. Elle relève également que le rapporteur a lui-même utilisé dans son rapport de sanction des notions issues du RGPD lorsqu’il analyse les conséquences pour les utilisateurs de l’utilisation des cookies. Elle note encore que le législateur français a fait le choix de transposer l’article 5(3) de la directive « ePrivacy » non pas dans un texte dédié, mais bien directement au sein de la loi  » Informatiques et Libertés « , démontrant ainsi l’unité des deux matières.

26. La société estime ensuite que même dans l’hypothèse où les investigations de la CNIL porteraient uniquement sur les dispositions de l’article 82 de la loi « Informatique et Libertés », le mécanisme de coopération entre les autorités de contrôle, dit mécanisme de « guichet unique », prévu au chapitre VII du Règlement, devrait s’appliquer et que par conséquent, la CNIL ne serait pas l’autorité compétente pour agir en tant qu’autorité chef de file. Elle considère en effet que dans la mesure où la directive  » ePrivacy »  » ne prévoit aucune règle de compétence lorsqu’un traitement qu’elle encadre est transfrontalier, il convient d’appliquer celles prévues par le RGPD, compte tenu notamment de ce que, depuis l’entrée en application du RGPD, les références faites par la directive  » ePrivacy »  » à la directive abrogée 95/46/CE s’entendent comme faites au RGPD.

27. La société considère par ailleurs que le fait que certains Etats membres de l’Union européenne ont fait le choix de confier le contrôle du respect de la directive « ePrivacy » à leur autorité de régulation des télécommunications et non à leur autorité de protection des données, n’est pas un obstacle à l’application du mécanisme de guichet unique dans la mesure où des accords de coopération entre ces différentes autorités ont pu être signés dans plusieurs Etats membres, permettant ainsi aux autorités de protection des données de participer au mécanisme de guichet unique dans des situations impliquant des dispositions issues de la directive « ePrivacy ».Elle considère que toute sanction prononcée à son encontre par la formation restreinte fondée sur la méconnaissance des dispositions issues de l’article 5(3) de la directive « ePrivacy » irait à l’encontre du principe d’harmonisation contenu à l’article 15 bis de la directive, lequel dispose que  » Les autorités réglementaire nationales compétentes peuvent adopter des mesures afin d’assurer une coopération transfrontalière effective dans le contrôle de l’application des législations nationales adoptées en application de la présente directive et de créer des conditions harmonisées pour la fourniture de services impliquant des flux de données transfrontaliers  » et du principe de libre prestation de services contenu à l’article 56 du Traité sur le fonctionnement de l’Union européenne (TFUE) aux termes duquel  » les restrictions à la libre prestation des services à l’intérieur de l’Union sont interdites à l’égard des ressortissants des États membres établis dans un État membre autre que celui du destinataire de la prestation.  »

28. La formation restreinte relève tout d’abord, que les opérations qui font l’objet de la présente procédure sont effectuées dans le cadre de la fourniture de services de communications électroniques accessibles au public sur les réseaux publics de communications et qu’elles concernent exclusivement des actions de lecture et d’écriture sur le terminal des internautes situés en France lorsque ceux-ci se rendent sur le site […].fr, opérations qui se matérialisent par le dépôt et la lecture de cookies.

29. La formation restreinte rappelle qu’un tel traitement est régi par les dispositions de la directive  » vie privée et communication électroniques « , communément appelée  » ePrivacy », et en particulier par son article 5(3) qui a été transposé en droit interne à l’article 82 de la loi  » Informatique et Libertés « . La formation restreinte relève, tout d’abord, qu’il ressort des dispositions citées ci-avant que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive  » ePrivacy  » en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de cet article. Elle souligne que cette compétence a été reconnue par le Conseil d’Etat dans sa décision Association des agences-conseils en communication du 19 juin 2020 concernant la délibération de la CNIL no 2019-093 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur, dès lors que ce dernier a relevé que  » l’article 20 de cette loi confie à son président [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations résultant du règlement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilité de saisir la formation restreinte en vue du prononcé des sanctions susceptibles d’être prononcées « (CE, 19 juin 2020, req. 434684, pt. 3).

30. Elle relève, ensuite, que lorsqu’un traitement relève à la fois du champ d’application matériel de la directive  » ePrivacy  » et du champ d’application matériel du RGPD, il convient de se référer aux dispositions pertinentes des deux textes qui prévoient leur articulation. Ainsi, l’article 1er paragraphe 2 de la directive  » ePrivacy  » dispose que  » les dispositions de la présente directive précisent et complètent la directive 95/46/CE  » du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des données personnelles (ci-après la  » directive 95/46/CE sur la protection des données personnelles « ), étant rappelé que depuis l’entrée en application du Règlement, les références faites à cette dernière directive doivent s’entendre comme faites au RGPD, conformément à l’article 94 de ce dernier. De même, il ressort du considérant 173 du RGPD que ce texte prévoit explicitement n’être pas applicable aux traitements de données à caractère personnel  » soumis à des obligations spécifiques ayant le même objectif [de protection des libertés et droits fondamentaux] énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques « . Cette articulation a été confirmée par la Cour de justice de l’Union européenne (ci-après  » CJUE « ) dans sa décision Planet49 du 1er octobre 2019 (CJUE, 1er octobre 2019, C 673/17, pt. 42).

31. A cet égard, la formation restreinte relève que, contrairement à ce que soutient la société, la directive  » ePrivacy  » prévoit bien, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application au sein de son article 15bis. Ainsi, le premier paragraphe de cette directive laisse aux Etats membres la compétence pour déterminer  » le régime des sanctions, y compris des sanctions pénales s’il y a lieu, applicables aux violations des dispositions nationales prises en application de la présente directive et prennent toute mesure nécessaire pour assurer la mise en œuvre de celles-ci. Les sanctions ainsi prévues doivent être effectives, proportionnées et dissuasives et peuvent être appliquées pour couvrir la durée de l’infraction, même si celle-ci a été ultérieurement corrigée « , Or la règle posée au 3 de l’article 5 de la directive  » ePrivacy « , selon laquelle les opérations de lecture et d’écriture doivent systématiquement faire l’objet d’un accord préalable de l’utilisateur, après information, constitue une règle spéciale au regard du RGPD puisqu’elle interdit de se prévaloir des bases légales mentionnées à l’article 6 qui ne requièrent pas un accord de l’utilisateur pour pouvoir licitement procéder à ces opérations de lecture et d’écriture sur le terminal. Le contrôle de cette règle relève donc bien du mécanisme spécial de contrôle et sanction prévu par la directive  » ePrivacy  » et non des autorités de protection de données et du CEPD en application du RGPD. C’est par un choix propre que le législateur français a confié cette mission à la CNIL.

32. La formation restreinte relève, ensuite, que le deuxième paragraphe du même article oblige les Etats membres à veiller  » à ce que l’autorité nationale compétente et, le cas échéant, d’autres organismes nationaux aient le pouvoir d’ordonner la cessation des infractions visées au paragraphe 1 « .

33. Elle estime que ces dernières dispositions excluent en tant que telles l’application du mécanisme de  » guichet unique  » prévu par le RGPD à des faits relevant de la directive  » ePrivacy « .

34. Elle ajoute, par ailleurs, que cette exclusion est corroborée par le fait que les États membres, qui sont libres de déterminer l’autorité nationale compétente pour connaître des violations des dispositions nationales prises en application de la directive  » ePrivacy « , peuvent avoir attribué cette compétence à une autorité autre que leur autorité de protection des données, en l’occurrence à leur autorité de régulation des télécommunications. Dès lors, dans la mesure où ces dernières autorités ne font pas partie du Comité européen à la protection des données (ci-après  » CEPD « ), alors que ce comité joue une fonction incontournable dans le mécanisme de contrôle de la cohérence mis en œuvre au chapitre VII du RGPD, il est de fait impossible d’appliquer le  » guichet unique  » à des pratiques susceptibles d’être sanctionnées par des autorités de contrôle nationales ne siégeant pas au sein de ce comité.

35. Elle souligne que les accords de coopération passés entre autorités de protection des données et autorités de régulation des télécommunications dans certains Etats invoqués par la société, par exemple, aux Pays-Bas, en Suède ou en Hongrie, ont pour but d’instaurer une coopération au niveau national entre les différents régulateurs afin d’assurer la cohérence de leurs doctrines lorsqu’un traitement relève à la fois du champ matériel du RGPD et de la directive « ePrivacy » mais qu’ils n’ont pas pour objectif de faire participer en tant que telles les autorités de régulation des télécommunications au mécanisme de guichet unique prévu par le chapitre VII du RGPD.

36. La formation restreinte souligne enfin que le CEPD a, dans son avis n°5/2019 du 12 mars 2019 relatif aux interactions entre la directive  » vie privée et communications électroniques  » et le RGPD, estimé que [traduction libre]  » Conformément au chapitre VII du RGPD, les mécanismes de coopération et de contrôle de la cohérence dont disposent les autorités chargées de la protection des données au titre du RGPD concernent le contrôle de l’application des dispositions du RGPD. Les mécanismes du RGPD ne s’appliquent pas au contrôle de l’application des dispositions de la directive  » vie privée et communications électroniques  » en tant que telle  » et que  » l’autorité ou les autorités désignées comme compétentes au sens de la directive  » vie privée et communications électroniques  » par les Etats membres sont exclusivement responsables du contrôle de l’application des dispositions nationales transposant la directive  » vie privée et communications électroniques  » qui sont applicables à ce traitement spécifique, y compris dans les cas où le traitement de données à caractère personnel relève à la fois du champ d’application matériel du RGPD et de celui de la directive  » vie privée et communications électroniques  »

37. La formation restreinte note encore que l’éventuelle application du mécanisme de guichet unique à un traitement encadré par la directive « ePrivacy » fait l’objet de nombreuses discussions dans le cadre de l’élaboration du projet de règlement « ePrivacy » en cours de négociation depuis trois ans au niveau européen. Dès lors, l’existence même de ces débats confirme qu’en l’état, le mécanisme de guichet unique prévu par le RGPD n’est pas applicable aux matières régies par l’actuelle directive « ePrivacy ».

38. Il convient donc de distinguer d’une part, les opérations de lecture et d’écriture sur un terminal, qui sont régies par les dispositions de l’article 82 de la loi  » Informatique et Libertés  » et pour lesquelles le législateur français a confié à la CNIL une mission de contrôle et notamment le pouvoir de sanctionner toute méconnaissance de cet article et d’autre part, l’utilisation qui est faite ultérieurement des données collectées grâce aux cookies, qui est régie par le RGPD et peut donc, le cas échéant, être soumise au dispositif de » guichet unique « .

39. La formation restreinte note encore que la société a fait le choix d’utiliser un nom de domaine en  » .fr.  » qui est une extension désignant l’espace territorial de la France lui permettant de bénéficier d’une visibilité optimale auprès des internautes français.

40. La formation restreinte note enfin que les références au RGPD contenues dans certains documents communiqués par la CNIL durant la mission de contrôle sont sans incidence sur la légalité de la procédure dans la mesure où les opérations de contrôle sont générales mais où la CNIL n’a entendu poursuivre , par la suite, que des manquements pour lesquels elle jouit d’une compétence de sanction, qui étaient clairement indiqués dans la notification des griefs par le rapporteur et sur lesquels la société a été mise en mesure de faire valoir ses observations dans des conditions conformes au respect des droits de la défense.

41. Il résulte de ce qui précède que le mécanisme de  » guichet unique  » prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les opérations de lecture et écriture de cookies mises en œuvre par la société qui relèvent du champ d’application de la directive  » ePrivacy « , sous réserve qu’elles se rattachent à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

42. La règle d’application territoriale des exigences prévues à l’article 82 de la loi  » informatique et libertés  » est fixée à l’article 3, paragraphe I, de la loi  » informatique et libertés « , qui dispose :  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement ou d’un sous-traitant sur le territoire français, que le traitement ait lieu ou non en France « .

43. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du site […].fr, est effectué dans le  » cadre des activités  » de la société Y qui constitue  » l’établissement  » sur le territoire français de la société X,. laquelle est concrètement responsable de la mise en œuvre des cookies en cause dans cette procédure, ce qu’elle n’a d’ailleurs pas contesté.

[… passage central omis : décision trop longue pour une cellule …]

106. De même, la formation restreinte considère que les liens  » Cookies  » présents en pied de page et qui renvoient vers une page d’informations ne constituent pas une modalité d’information satisfaisante dès lors que, le dépôt de cookies avant toute action de l’utilisateur prive nécessairement l’information de son caractère préalable, contrairement à ce que prévoit les dispositions de l’article 82 de la loi  » Informatique et Libertés « , selon lesquelles  » Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimée, après avoir reçu cette information, son consentement  » (soulignement ajouté).

107. Enfin, la formation restreinte rappelle que si les recommandations en matière de cookies ont évolué, les pratiques reprochées à la société ont continuellement été considérées comme non conformes par la CNIL et cela a été confirmé dans les lignes directrices du 4 juillet 2019 et que cette position demeure inchangée dans sa deuxième recommandation et dans sa dernière version des lignes directrices qui ne remettent en question cet état de fait.

108. La formation restreinte observe de surcroît que dans son communiqué de presse publié sur son site internet le 18 juillet 2019 prévoyant un moratoire avant l’application effective de sa deuxième recommandation relative aux cookies, la CNIL avait pris soin de préciser qu’elle continuerait à contrôler le respect des obligations n’ayant fait l’objet d’aucune modification en indiquant qu’  » En particulier, les opérateurs doivent respecter le caractère préalable du consentement au dépôt de traceurs [… et] doivent fournir un dispositif de retrait du consentement facile d’accès et d’usage « . Ainsi, la société ne peut valablement soutenir que les obligations dont la méconnaissance lui est reprochée dans la présente procédure n’étaient pas clairement identifiées.

109. La formation restreinte précise qu’au demeurant, le manquement reproché à la société n’est pas fondé sur la méconnaissance des lignes directrices ou des recommandations de la CNIL mais sur la méconnaissance des dispositions de l’article 82 de la loi  » Informatique et Libertés « , lesquelles ne contiennent que des obligations qui figuraient déjà dans les versions antérieures ladite loi.

110. La formation restreinte, relève encore que sur la base de ces dispositions, elle a déjà adopté plusieurs décisions de sanction, concernant parfois des pratiques identiques, dont certaines ont d’ailleurs été rendues publiques (voir, en ce sens, délibération n°SAN-2016-204 du 7 juillet 2016 et délibération n°SAN-2017-006 du 27 avril 2017).

111. Au vu de ces éléments, la formation restreinte considère que le manquement aux dispositions de l’article 82 de la loi  » Informatique et Libertés  » est caractérisé en ce que la société dépose des cookies sur le terminal des utilisateurs situés sur le territoire français avant de recueillir leur consentement et sans leur fournir les informations prescrites par cet article, dans les conditions qu’il définit.

III. Sur le prononcé de mesures correctrices et la publicité

112. L’article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée prévoit que :  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes : […]

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’État, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ; […]

7° À l’exception des cas où le traitement est mis en œuvre par l’État, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83.  »

113. L’article 83 du RGPD, tel que visé par l’article 20, paragraphe III, de la loi  » informatique et libertés « , prévoit :

 » 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :

a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ;

b) le fait que la violation a été commise délibérément ou par négligence ;

c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;

d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ;

e) toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;

f) le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ;

g) les catégories de données à caractère personnel concernées par la violation ;

h) la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;

i) lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;

j) l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et

k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.  »

A. Sur le prononcé d’une amende administrative

114. En défense, la société fait valoir que le montant de l’amende proposé par le rapporteur est disproportionné et que ce dernier n’a pas tenu compte de plusieurs critères prévus par l’article 83(2) du Règlement, notamment, le fait qu’un dispositif d’information des utilisateurs était en place, l’absence d’intentionnalité de commettre le manquement, les mesures prises pour atténuer le dommage ou encore l’absence de violations antérieures. Elle fait valoir qu’il n’est pas possible, pour déterminer le montant de l’amende, de prendre en compte les traitements effectués grâce aux cookies car ces éléments ne font pas partie du périmètre des investigations de la CNIL. Elle note enfin que l’amende proposée par le rapporteur est sans commune mesure avec les amendes prononcées par d’autres autorités en matière de cookies.

115. Au regard des éléments développés ci-dessus, la formation restreinte considère que les faits précités, constitutifs d’un manquement à l’article 82 de la loi  » Informatique et Libertés « , justifient que soit prononcée une amende administrative à l’encontre de la société X, personne morale responsable du traitement. Elle rappelle que les changements apportés par la société au site  » […].fr  » depuis septembre 2020 sont sans incidence sur le prononcé d’une amende dans la mesure où celle-ci vise à sanctionner les faits constatés au cours des contrôles.

116. La formation restreinte rappelle, à titre général, que l’article 20, paragraphe III, de la loi  » informatique et libertés  » lui donne compétence pour prononcer diverses sanctions, notamment une amende administrative dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de cette amende s’apprécie au regard des critères précisés par l’article 83 du RGPD.

117. Dans le cas d’espèce, la formation restreinte considère que le manquement en cause justifie le prononcé d’une amende administrative à l’encontre de la société pour les motifs suivants.

118. Tout d’abord, la formation restreinte relève que le manquement commis est particulièrement grave dans la mesure où en inscrivant des cookies sur les terminaux des utilisateurs situés en France avant toute action leur part, sans leur fournir les informations nécessaires, la société les prive de la possibilité d’exercer leur choix conformément aux dispositions de l’article 82 précité.

119. La formation restreinte considère que la gravité du manquement est accentuée dans le cas des utilisateurs français qui accèdent au site […].fr après avoir cliqué sur une annonce présente dans un moteur de recherche ou sur un site tiers. En effet, compte tenu de ce que le dépôt de cookies est effectué dans ce cadre en l’absence de toute information des personnes concernées, il s’effectue ainsi à leur insu.

120. La formation restreinte observe que la gravité du manquement doit également être appréciée au regard de la portée des opérations de lecture et d’écriture et du nombre de personnes concernées.

121. S’agissant de la portée des opérations de lecture et d’écriture, la formation restreinte relève que la visite d’un internaute sur le site […].fr se traduit par le dépôt par une vingtaine de sociétés spécialisées dans la publicité personnalisée de cookies dont le but est de suivre sa navigation sur le web afin que lui soit affiché ultérieurement de la publicité correspondant à son comportement.

122. Elle considère qu’il convient de tenir compte de l’ampleur des traitements qui seront réalisés grâce au dépôt préalable de cookies sur les terminaux des utilisateurs résidant en France et de la nécessité impérieuse pour ces derniers de garder la maîtrise de leurs données. En ce sens, les utilisateurs doivent être mis en situation d’être suffisamment informés de la portée des traitements mis en œuvre.

123. S’agissant du nombre de personnes concernées, il ressort des informations fournies par la société qu’environ 300 millions d’identifiants […] ont été attribués en France sur une période de neuf mois. La formation restreinte note que même si une seule personne est susceptible de correspondre à plusieurs identifiants différents en raison de l’utilisation de multiples terminaux et navigateurs, ce volume reflète la place centrale occupée par le site […].fr dans le quotidien des personnes résidents en France. Les informations susceptibles d’être collectées pour un même identifiant au moyen de ces cookies publicitaires sont par ailleurs nombreuses, variées, parfois relatives à des aspects touchant à l’intimité des personnes, et il n’est pas impossible que certaines révèlent des informations correspondant à des données sensibles (opinions religieuses, politiques, état de santé,etc. régies par l’article 9 du RGPD.

124. Ensuite, la formation restreinte considère que la société X, qui a réalisé pour l’année 2019 un chiffre d’affaires mondial d’environ 7,7 milliards d’euros, a tiré du manquement commis un avantage financier certain. En effet, comme rappelé au point 121, le recours aux cookies permet à la société de présenter aux utilisateurs, lorsqu’ils naviguent sur d’autres sites, des publicités personnalisées faisant la promotion de ses produits. La formation restreinte note que si l’activité principale de la société réside dans la vente de biens de consommation, la personnalisation des annonces, rendue possible notamment par les cookies, permet justement d’augmenter considérablement la visibilité de ces biens et d’augmenter la probabilité qu’ils soient achetés. Or, en ne délivrant pas d’informations de  » manière claire et complète  » aux utilisateurs et en déposant les cookies avant que les personnes y consentent, la société élimine le risque que ces cookies soient refusés.

125. Il résulte de tout ce qui précède et des critères dont il a été dûment tenu compte par la formation restreinte, au vu du montant maximum encouru établi sur la base de 2% du chiffre d’affaires, qu’il est justifié de prononcer une amende administrative à hauteur de 35 millions d’euros.

B. Sur le prononcé d’une injonction assortie d’une astreinte

126. Le rapporteur propose, en complément de l’amende administrative, que soit prononcée une injonction assortie d’une astreinte de 100 000 euros en ce que la société n’informe pas les utilisateurs des finalités exactes de l’inscription de cookies et des moyens dont ils disposent pour s’y opposer.

127. En défense, la société fait valoir que cette injonction n’est pas justifiée dans la mesure où d’une part, elle a déjà fait évoluer ses pratiques et d’autre part, le montant proposé est disproportionné. Elle rappelle que plus aucun cookie n’est déposé avant que l’utilisateur n’ait exprimé son consentement. Elle relève en outre que le prononcé d’une injonction sur ce point risque de se heurter à la publication par la CNIL de ses nouvelles lignes directrices et recommandations en matière de cookies. Elle souligne qu’elle serait contrainte d’entreprendre deux séries de modifications, la première pour se conformer à l’injonction et la seconde pour appliquer les nouvelles recommandations de la CNIL.

128. La formation restreinte relève en effet que depuis la réception du rapport de sanction, la société a apporté des modifications sur le site […].fr. Elle note tout d’abord que quel que soit le chemin par lequel l’utilisateur se rend sur le site, plus aucun cookie n’est déposé sur son terminal avant qu’il ait exprimé son consentement.

129. Elle relève ensuite que lors de l’arrivée sur le site, quel que soit le parcours suivi par l’utilisateur, le bandeau affiché contient le texte le suivant :

 » Choisir vos préférences en matière de cookies. Nous utilisons des cookies et des outils similaires pour faciliter vos achats, fournir nos services, pour comprendre comment les clients utilisent nos services afin de pouvoir apporter des améliorations, et pour présenter des annonces. Des tiers approuvés ont également recours à ces outils dans le cadre de notre affichage d’annonces  » Ce bandeau contient en outre deux boutons  » Accepter les cookies  » et  » Personnaliser les cookies « .

130. La formation restreinte considère néanmoins que ce nouveau dispositif ne délivre toujours pas une information  » claire et complète  » telle que prévue par l’article 82 de la loi  » Informatique et Libertés « .

131. La formation restreinte observe en effet que les informations fournies ne permettent toujours pas aux internautes de comprendre précisément certaines des finalités poursuivies par le dépôt de cookies, notamment les finalités publicitaires, alors que ces derniers sont utilisés en grande partie pour leur proposer des publicités personnalisées en fonction de leur comportement.

132. En conséquence, sans méconnaître les démarches de la société pour se mettre en conformité avec les dispositions de l’article 82 de la loi  » Informatique et Libertés « , la formation restreinte considère qu’elle n’a pas démontré, au jour de la clôture de l’instruction, sa conformité avec les dispositions de l’article précité et qu’il convient donc de prononcer une injonction sur ce point.

133. S’agissant du montant de l’astreinte journalière, la formation restreinte rappelle qu’il s’agit d’une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu.

134. Aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité du manquement reproché mais également adapté aux capacités financières du responsable de traitement. Il convient de prendre également en considération le fait que le manquement en cause participe indirectement aux bénéfices générés par le responsable de traitement. Compte tenu de ces éléments, la formation restreinte estime qu’une astreinte d’un montant de 100 000 euros par jour de retard à compter de la notification de la présente décision apparaît proportionnée.

135. S’agissant du délai octroyé à la société pour se conformer à l’injonction, la formation restreinte estime qu’un délai de trois mois à compter de la notification de la présente décision est suffisant pour régulariser la situation.

C Sur la publicité de la décision

[…]

137. La formation restreinte considère que compte tenu de ce qui a été exposé précédemment, il est justifié de prononcer une sanction complémentaire de publicité. Il est également tenu compte de la place prépondérante occupée par la société en matière de commerce en ligne, de la gravité des manquements et de l’intérêt que représente la présente décision pour l’information du public, dans la détermination de la durée de sa publication.

[…]

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

– prononcer à l’encontre de la société X, une amende administrative d’un montant de 35 (trente-cinq) millions d’euros ;

– prononcer une injonction de mettre en conformité le traitement, dans un délai de trois mois à compter de la notification de la présente décision, avec les dispositions de l’article 82 de la loi  » Informatique et Libertés « , et en particulier :

– informer les personnes concernées au préalable et de manière claire et complète, par exemple au moyen d’un bandeau d’information apparaissant lors de la première arrivée de l’internaute sur le site  » […].fr  » et cela quel que soit la première page accédée :

– des finalités précises de tous les cookies dont l’inscription est soumise au consentement

– ainsi que des moyens dont elles disposent pour les refuser ;

– assortir l’injonction d’une astreinte de 100 000 (cent mille) euros par jour de retard, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;

– d’adresser cette décision à la société Y en vue de l’exécution de cette décision ;

– rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

Le président

Alexandre LINDEN

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.