La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Dominique CASTERA, Anne DEBET et Christine MAUGÜE, membres ;

Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu l’ordonnance n° 2014-1329 du 6 novembre 2014 relative aux délibérations à distance des instances administratives à caractère collégial ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision no 2020-072C du 15 mars 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles depuis le domaine […].fr ou portant sur des données à caractère personnel collectées à partir de ce dernier ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 8 juin 2020 ;

Vu l’audition des sociétés X et Y dans les locaux de la CNIL, le 22 juillet 2020 ;

Vu le rapport de Monsieur Bertrand du MARAIS, commissaire rapporteur, notifié aux sociétés X et Y le 12 août 2020 ;

Vu les observations écrites versées par les conseils des sociétés X et Y le 25 septembre 2020 ;

Vu la réponse du rapporteur à ces observations notifiée le 9 octobre 2020 aux conseils des sociétés ;

Vu les observations écrites versées par les conseils des sociétés X et Y reçues le 26 octobre 2020 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu la note en délibéré du 2 décembre 2020 adressée par les conseils des sociétés X et Y au président de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 12 novembre 2020 :

– Monsieur Bertrand du MARAIS, commissaire, entendu en son rapport ;

En qualité de représentants des sociétés X et Y :

– […]

En qualité d’interprètes des sociétés X et Y :

– […]

Les sociétés X et Y ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société X est une société à responsabilité limitée ayant son siège social en Californie (Etats-Unis). Depuis sa création en 1998, elle a développé de nombreux services à destination des particuliers et des entreprises, tels que le moteur de recherche […] Search, la boite de courrier électronique Gmail ou encore le service de cartographie […]Maps et la plateforme de vidéos YouTube. Elle possède plus de 70 bureaux implantés dans une cinquantaine de pays et employait en 2019 plus de 110 000 personnes à travers le monde. Depuis août 2015, elle est une filiale détenue à 100% par la société ZZ., maison-mère du groupe XY.

2. En 2019, la société ZZ. a réalisé un chiffre d’affaires de plus de 161 milliards de dollars, tandis que la société X a réalisé un chiffre d’affaires de plus de 160 milliards de dollars. […]

3. La société Y (ci-après la société Y ) se présente comme étant le siège du groupe XY pour ses activités dans l’Espace économique européen (ci-après EEE ) et en Suisse. Etablie à Dublin (Irlande), elle emploie environ 9 000 personnes. En 2018, elle a réalisé un chiffre d’affaires de plus de 38 milliards d’euros.

4. La société Z SARL est l’établissement français du groupe XY. Filiale détenue à 100 % par la société X, son siège social est situé à Paris (France). En 2018, elle employait environ 1 400 salariés et avait réalisé un chiffre d’affaires de plus de 400 millions d’euros.

5. En application de la décision n° 2020-072C du 15 mars 2020 de la présidente de la Commission, les services de la CNIL ont procédé à un contrôle en ligne, le 16 mars 2020, sur le site web […].fr .

6. Cette mission avait notamment pour objet de vérifier le respect, par les sociétés X et Y (ci-après les sociétés ), de l’ensemble des dispositions de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi informatique et libertés ) et notamment de son article 82.

7. Dans le cadre du contrôle en ligne, la délégation a ainsi pu constater que lorsqu’un utilisateur se rend sur la page […].fr , plusieurs cookies sont automatiquement déposés sur son terminal, sans action de sa part, dès son arrivée sur le site. Le 16 mars 2020, la délégation a notifié aux sociétés le procès-verbal dressé dans le cadre du contrôle en ligne, en leur demandant, notamment, de lui préciser les finalités des différents cookies dont le dépôt avait été constaté.

8. Par courrier du 30 avril 2020, la société Y a répondu en son nom à cette dernière demande tout en estimant que la CNIL n’avait pas la compétence pour contrôler le site web […].fr .

9. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Monsieur Bertrand du MARAIS en qualité de rapporteur, le 8 juin 2020, sur le fondement de l’article 22 de la loi informatique et libertés .

10. Par courrier du 29 juin 2020, les sociétés ont été convoquées à une audition le 15 juillet suivant, en application de l’article 39 du décret n° 2019-536 du 29 mai 2019. Sur demande des sociétés, le rapporteur a accepté, par courrier du 9 juillet suivant, un report de l’audition au 22 juillet 2020.

11. Au cours de l’audition du 22 juillet 2020, qui a donné lieu à un procès-verbal signé par l’ensemble des parties présentes, les sociétés ont notamment fourni des réponses aux questions du rapporteur relatives à la détermination du responsable du traitement concernant le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […] Search.

12. Par courrier du 29 juillet 2020, la société Y a répondu à plusieurs des demandes complémentaires formulées par le rapporteur à l’issue de l’audition du 22 juillet 2020, en fournissant, notamment, le contrat de sous-traitance du 11 décembre 2018 conclu avec la société X. Elles n’ont, en revanche, pas produit les revenus de la société Y issus de l’activité de […].fr et de Z au titre de sa commission d’apporteur d’affaires, pourtant demandés par le rapporteur.

13. À l’issue de son instruction, le 12 août 2020, le rapporteur a fait signifier en main propre aux conseils des sociétés et par courrier électronique à leurs représentants un rapport détaillant le manquement à la loi informatique et libertés qu’il estimait constitué en l’espèce.

14. Ce rapport proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions de l’article 82 de la loi informatique et libertés , assortie d’une astreinte, ainsi qu’une amende administrative à l’encontre des deux sociétés. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

15. Le 18 août 2020, par l’intermédiaire de leurs conseils, les sociétés ont formulé une demande pour que la séance devant la formation restreinte se tienne à huis clos, demande qui a été rejetée par le président de la formation restreinte par courrier du 23 septembre 2020.

16. Le 25 septembre 2020, les sociétés ont produit des observations en réponse au rapport de sanction.

17. Le rapporteur a répondu aux observations des sociétés le 9 octobre 2020.

18. Par courrier électronique du 15 octobre 2020, les sociétés ont sollicité une extension du délai de quinze jours prévu par l’article 40 du décret n° 2019-536 du 29 mai 2019 pour produire des observations en duplique, demande qui a été rejetée par le président de la formation restreinte par courrier du 16 octobre 2020.

19. Le 26 octobre 2020, les sociétés ont produit de nouvelles observations en réponse à celles du rapporteur.

20. Les sociétés et le rapporteur ont présenté des observations orales lors de la séance de la formation restreinte.

21. Par courrier électronique du 2 décembre 2020, les sociétés ont adressé une note en délibéré au président de la formation restreinte.

II. Motifs de la décision

A. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de guichet unique prévu par le RGPD

22. Les dispositions de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après la directive ePrivacy ) relatives au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur ont été transposées en droit interne à l’article 82 de la loi informatique et libertés , au sein du chapitre IV Droits et obligations propres aux traitements dans le secteur des communications électroniques de cette loi.

23. Aux termes de l’article 16 de la loi informatique et libertés , la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi . Aux termes de l’article 20, paragraphe III, de cette même loi, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte .

24. Le rapporteur considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par les sociétés dans les terminaux des utilisateurs du moteur de recherche […] Search résidant en France.

25. Les sociétés reconnaissent que les faits de la présente procédure relèvent matériellement de la directive ePrivacy mais estiment qu’elle devraient se voir appliquer le cadre procédural prévu par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ), c’est-à-dire le mécanisme de coopération entre les autorités de contrôle, dit mécanisme de guichet unique , prévu au chapitre VII du Règlement. En application de ce mécanisme, l’autorité de contrôle compétente pour connaitre des faits en cause ne serait pas la CNIL mais l’autorité de protection des données irlandaise, la Data Protection Commissionner (ci-après la DPC ), qui devrait agir en qualité d’autorité chef de file à l’égard du déploiement des cookies par la société Y, celle-ci étant compétente selon les sociétés aussi bien au titre du RGPD que de la directive ePrivacy.

26. À ce soutien, les sociétés invoquent, notamment, l’adage specialia generalibus derogant en vertu duquel, selon elles, l’absence de règles spécifiques relatives à la détermination de la compétence de l’autorité de contrôle en cas de traitements transfrontaliers dans la directive ePrivacy devrait se voir suppléée par l’application du cadre procédural prévu par le RGPD. Elles soutiennent qu’une lecture téléologique des travaux préparatoires du RGPD et de ses considérants abonderait dans le même sens. Elles ajoutent que l’exclusion du mécanisme de guichet unique à la présente espèce contribuerait à la fragmentation de la règlementation européenne en matière de données à caractère personnel relative aux cookies, fragmentation qui se vérifierait déjà par le fait que plusieurs autorités de contrôle (les autorités française, britannique et espagnole) aient adopté des lignes directrices voire des politiques répressives divergentes à l’égard de ces dispositifs.

27. La formation restreinte relève, tout d’abord, qu’il ressort des dispositions citées ci-avant que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive ePrivacy transposées à l’article 82 de la loi informatique et libertés , en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de cet article. Elle souligne que cette compétence a été reconnue par le Conseil d’Etat dans sa décision Association des agences-conseils en communication du 19 juin 2020 concernant la délibération de la CNIL no 2019-093 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture ou écriture dans le terminal d’un utilisateur, dès lors que ce dernier a relevé que l’article 20 de cette loi confie à son président [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations résultant du règlement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilité de saisir la formation restreinte en vue du prononcé des sanctions susceptibles d’être prononcées (CE, 19 juin 2020, req. 434684, pt. 3).

28. Elle relève, ensuite, que lorsqu’un traitement relève à la fois du champ d’application matériel de la directive ePrivacy et du champ d’application matériel du RGPD, il convient de se référer aux dispositions pertinentes des deux textes qui prévoient leur articulation. Ainsi, l’article 1er paragraphe 2 de la directive ePrivacy dispose que les dispositions de la présente directive précisent et complètent la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des données personnelles (ci-après la directive 95/46/CE sur la protection des données personnelles ), étant rappelé que depuis l’entrée en application du Règlement, les références faites à cette dernière directive doivent s’entendre comme faites au RGPD, conformément à l’article 94 de ce dernier. De même, il ressort du considérant 173 du RGPD que ce texte prévoit explicitement n’être pas applicable aux traitements de données à caractère personnel soumis à des obligations spécifiques ayant le même objectif [de protection des libertés et droits fondamentaux] énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques . Cette articulation a été confirmée par la Cour de justice de l’Union européenne (ci-après CJUE) dans sa décision Planet49 du 1er octobre 2019 (CJUE, 1er octobre 2019, C 673/17, pt. 42).

29. À cet égard, la formation restreinte relève que, contrairement à ce que soutiennent les sociétés, la directive ePrivacy prévoit bien, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application au sein de son article 15bis. Ainsi, le premier paragraphe de cet article laisse aux Etats membres la compétence pour déterminer le régime des sanctions, y compris des sanctions pénales s’il y a lieu, applicables aux violations des dispositions nationales prises en application de la présente directive et prennent toute mesure nécessaire pour assurer la mise en œuvre de celles-ci. Les sanctions ainsi prévues doivent être effectives, proportionnées et dissuasives et peuvent être appliquées pour couvrir la durée de l’infraction, même si celle-ci a été ultérieurement corrigée . Or la règle posée au 3 de l’article 5 de la directive ePrivacy , selon laquelle les opérations de lecture et d’écriture doivent systématiquement faire l’objet d’un accord préalable de l’utilisateur, après information, constitue une règle spéciale au regard du RGPD puisqu’elle interdit de se prévaloir des bases légales mentionnées à l’article 6 qui ne requièrent pas un accord de l’utilisateur pour pouvoir licitement procéder à ces opérations de lecture et d’écriture sur le terminal. Le contrôle de cette règle relève donc bien du mécanisme spécial de contrôle et sanction prévu par la directive ePrivacy et non des autorités de protection de données et du CEPD en application du RGPD. C’est par un choix propre que le législateur en France a confié cette mission à la CNIL.

30. De plus, le deuxième paragraphe du même article oblige les Etats membres à veiller à ce que l’autorité nationale compétente et, le cas échéant, d’autres organismes nationaux aient le pouvoir d’ordonner la cessation des infractions visées au paragraphe 1 .

31. La formation restreinte estime que ces dernières dispositions excluent en tant que telles l’application du mécanisme de guichet unique prévu par le RGPD à des faits relevant de la directive ePrivacy .

32. Elle ajoute, par ailleurs, que cette exclusion est corroborée par le fait que les États membres, qui sont libres de déterminer l’autorité nationale compétente pour connaître des violations des dispositions nationales prises en application de la directive ePrivacy , peuvent avoir attribué cette compétence à une autorité autre que leur autorité nationale de protection des données instituée par le RGPD, en l’occurrence à leur autorité de régulation des télécommunications. Dès lors, dans la mesure où ces dernières autorités ne font pas partie du Comité européen à la protection des données (ci-après CEPD ), alors que ce comité joue une fonction incontournable dans le mécanisme de contrôle de la cohérence mis en œuvre au chapitre VII du RGPD, il est de fait impossible d’appliquer le guichet unique à des pratiques susceptibles d’être sanctionnées par des autorités de contrôle nationales ne siégeant pas au sein de ce comité.

33. Elle souligne que le CEPD partage d’ailleurs la même interprétation, ayant notamment précisé, dans son avis n° 5/2019 du 12 mars 2019 relatif aux interactions entre la directive vie privée et communications électroniques et le RGPD, que les mécanismes du RGPD ne s’appliquent pas au contrôle de l’application des dispositions de la directive vie privée et communications électroniques en tant que tel (pt. 80, traduction libre).

34. Enfin, la formation restreinte note que l’éventuelle application du mécanisme de guichet unique à un traitement encadré par la directive ePrivacy fait en ce moment l’objet de nombreuses discussions dans le cadre de l’élaboration du projet de règlement ePrivacy en cours de négociation depuis trois ans au niveau européen. Elle remarque que l’existence même de ces débats confirme qu’en l’état le mécanisme de guichet unique prévu par le RGPD n’est pas applicable pour les matières régies par l’actuelle directive ePrivacy . Elle souligne que l’avis du CEPD du 19 novembre 2020, invoqué par les sociétés dans leur note en délibéré du 2 décembre 2020, corrobore cette analyse dès lors que dans cet avis le CEPD se borne à appeler de ses vœux l’application du guichet unique au futur règlement, preuve qu’en l’état du droit positif, ce mécanisme ne s’applique pas aux dispositions cookies de la directive ePrivacy en vigueur.

35. Il résulte de ce qui précède que le mécanisme de guichet unique prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et sanctionner les traitements mis en œuvre par les sociétés relevant du champ d’application de la directive ePrivacy , sous réserve qu’ils se rattachent à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

36. La règle d’application territoriale des exigences fixées à l’article 82 de la loi informatique et libertés est fixée à l’article 3, paragraphe I, de la loi informatique et libertés qui dispose : sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement (…) sur le territoire français, que le traitement ait lieu ou non en France .

37. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […] Search, notamment à des fins publicitaires, est effectué dans le cadre des activités de la société Z, qui constitue l’établissement sur le territoire français du groupe XY.

38. Les sociétés soutiennent que dans la mesure où il conviendrait de faire application des règles de compétence et des procédures de coopération définies au RGPD, la CNIL ne disposerait pas de la compétence territoriale pour connaître de cette affaire étant donné que le siège réel du groupe XY en Europe, soit le lieu de son administration centrale au sens de l’article 56 du RGPD, est situé en Irlande.

39. La formation restreinte retient de nouveau qu’étant donné que les faits en cause relèvent matériellement des dispositions de la directive ePrivacy , et non du RGPD, le mécanisme de guichet unique prévu par ce dernier n’est pas applicable en l’espèce. Elle en déduit qu’il convient de se référer aux dispositions de l’article 3, paragraphe I, de la loi informatique et libertés , déterminant le champ de la compétence territoriale de la CNIL.

40. À cet égard, la formation restreinte souligne que la directive ePrivacy , adoptée en 2002 et modifiée en 2006 puis en 2009, ne fixe pas elle-même explicitement la règle d’application territoriale des différentes lois de transposition adoptées par chaque Etat-membre. Cependant, cette directive indique qu’elle précise et complète la directive 95/46.CE , laquelle prévoyait à l’époque, à son article 4, que Chaque État membre applique les dispositions nationales qu’il arrête en vertu de la présente directive aux traitements de données à caractère personnel lorsque : a) le traitement est effectué dans le cadre des activités d’un établissement du responsable du traitement sur le territoire de l’État membre; si un même responsable du traitement est établi sur le territoire de plusieurs États membres, il doit prendre les mesures nécessaires pour assurer le respect, par chacun de ses établissements, des obligations prévues par le droit national applicable . Cette règle de détermination de la loi nationale applicable au sein de l’Union n’a plus lieu d’être pour l’application des règles du RGPD, qui a remplacé la directive 95/46/CE sur la protection des données personnelles et s’applique uniformément sur tout le territoire de l’Union, mais il est logique que le législateur français ait maintenu le critère d’application territoriale pour les règles spécifiques du droit français, notamment celles qui transposent la directive ePrivacy . Dès lors, la jurisprudence de la CJUE sur l’application de l’article 4 de l’ancienne directive 95/46/CE sur la protection des données personnelles demeure pertinente, dans la mesure où le législateur français a utilisé ces mêmes critères pour définir la compétence territoriale de la CNIL.

41. Ainsi, s’agissant, en premier lieu, de l’existence d’un établissement du responsable de traitement sur le territoire français , la CJUE a considéré de façon constante que la notion d’établissement devait être appréciée extensivement et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un autre État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question (voir, par exemple, CJUE, Weltimmo, 1er oct. 2015, C 230/14, pts. 30 et 31). La CJUE estime en outre qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, YY, C-131/12, pt 48).

42. En l’occurrence, la formation restreinte relève, tout d’abord, que la société Z est le siège de la filiale française de la société X, qu’elle dispose de locaux situés à Paris, qu’elle emploie environ 1 400 personnes et que, selon ses statuts déposés auprès du greffe du tribunal de commerce de Paris, elle a notamment pour objet la fourniture de services et/ou conseils relatifs aux logiciels, au réseau internet, aux réseaux télématiques ou en ligne, notamment l’intermédiation en matière de vente de publicité en ligne, la promotion sous toutes ses formes de la publicité en ligne, la promotion directe de produits et services et la mise en œuvre de centre de traitement de l’information . La formation restreinte relève, ensuite, qu’il ressort de l’audition du 22 juillet 2020 que la société Z est chargée d’assurer la promotion de la publicité en ligne pour le compte de la société Y, qui est co-contractante des contrats publicitaires conclus avec les entreprises françaises ou filiales françaises de sociétés étrangères. Elle relève, enfin, que la société Z participe de manière effective à la promotion des produits et services conçus et développés par la société X, tels que […] Search, en France, ainsi qu’aux activités publicitaires gérées par la société Y.

43. S’agissant, en second lieu, de l’existence d’un traitement effectué dans le cadre des activités de cet établissement, la formation restreinte relève que la CJUE a, dans son arrêt YY du 13 mai 2014, considéré que le traitement relatif au moteur de recherche […] Search était effectué dans le cadre des activités de la société YY, établissement de la société XX – devenue depuis X -, dans la mesure où la société YY est destinée à assurer en Espagne la promotion et la vente des espaces publicitaires proposés par ce moteur de recherche, qui servent à rentabiliser le service offert par ce moteur de recherche. Si, dans l’arrêt YY l’établissement du responsable du traitement était établi en dehors de l’Union européenne, la Cour a par la suite, dans son arrêt Facebook Ireland Ltd du 5 juin 2018, appliqué la même interprétation extensive des traitements effectués dans le cadre des activités d’un établissement national à une situation où le traitement était en partie sous la responsabilité d’un autre établissement présent au sein de l’Union européenne (CJUE, 5 juin 2018, C-210/16, pts 53 sq). Enfin, il faut relever que l’interprétation de la notion de traitement mis en œuvre dans le cadre des activités d’un établissement national du responsable de traitement est sans incidence sur le fait que le débiteur des obligations demeure le responsable de traitement et, le cas échéant, son sous-traitant.

44. En l’espèce, la formation restreinte relève, tout d’abord, qu’il ressort des communiqués de la société Z mis en ligne sur son site web que cette dernière a notamment pour mission d’accompagner les petites et moyennes entreprises en France à travers le développement d’outils de collaboration, de solutions publicitaires ou pour leur donner les clés de compréhension de leurs marchés et de leurs consommateurs . Elle note, ensuite, que dans son courrier du 30 avril 2020 la société Y indique que Z dispose d’une équipe de vente dédiée à la promotion et à la vente des services de Y à l’égard des annonceurs et des éditeurs basés en France, comme […] ads . Elle retient, enfin, que le groupe XY précise sur son site web ads.[…].com que […] ads permet aux entreprises françaises de mettre leurs produits ou services en avant sur le moteur de recherche et sur un large réseau publicitaire .

45. Dès lors, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs du moteur de recherche […] Search résidant en France, notamment à des fins publicitaires, est effectué dans le cadre des activités de la société Z sur le territoire français, laquelle est en charge de la promotion et de la commercialisation des produits […] et de leurs solutions publicitaires en France. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi informatique et libertés sont donc réunis et que le traitement est suffisamment territorialisé en France pour être soumis à la loi française. L’application de la loi française ne concerne que les opérations de lecture et d’écriture qui sont effectuées sur le territoire français (l’article 4 de la directive 95/46/CE sur la protection des données personnelles précisait d’ailleurs que la loi de l’Etat-membre ne s’appliquait qu’aux activités de l’établissement sur le territoire de l’Etat-membre ), ce qui correspond aux données lus sur les terminaux en France ou écriture sur ces terminaux en France. La formation restreinte souligne enfin qu’il s’agit d’une position constante de sa part depuis l’intervention de la jurisprudence YY en 2014 (cf. notamment la décision CNIL, formation restreinte, 27 avril 2017, SAN-2017-006 ; CNIL, formation restreinte, 19 décembre 2018, SAN-2018-011).

[… passage central omis : décision trop longue pour une cellule …]

A. Sur la légalité de la présente procédure de sanction

112. Les sociétés soutiennent, tout d’abord, que rien ne permet de justifier que la CNIL ait directement engagé une procédure de sanction à leur encontre sans qu’une mise en demeure leur ait été préalablement adressée.

113. Elles avancent, ensuite, qu’au regard de l’instabilité du cadre juridique relatif aux cookies, le prononcé d’une sanction financière pour les faits en cause violerait le principe de légalité des délits et des peines, garanti à l’article 8 de la Déclaration des droits de l’homme et du citoyen. Elles font notamment valoir que la caractérisation des manquements repose sur l’application de lignes directrices dont le sens n’avait pas valeur impérative au moment du contrôle en ligne du 16 mars 2020, la CNIL ayant accordé, en juillet 2019, un délai d’adaptation de douze mois à compter de la publication des lignes directrices du 4 juillet 2019 afin que les responsables de traitement puissent s’y conformer.

114. En premier lieu, la formation restreinte rappelle que, conformément à l’article 20 de la loi informatique et libertés , la présidente de la CNIL n’est pas tenue d’adresser une mise en demeure à un responsable de traitement avant d’engager une procédure de sanction à son encontre. Elle ajoute que la possibilité d’engager directement une procédure de sanction a été confirmée par le Conseil d’Etat (voir, notamment, CE, 4 nov. 2020, req. n° 433311, pt. 3).

115. En second lieu, la formation restreinte rappelle, tout d’abord, que les différentes branches du manquement reproché aux sociétés ont pour seul fondement juridique les dispositions de l’article 82 de la loi informatique et libertés qui ont transposé les dispositions relatives aux cookies et traceurs de la directive ePrivacy . Elle signale que si ces prescriptions étaient autrefois prévues à l’article 32, paragraphe II, de cette même loi, avant que le texte ne soit refondu dans son ensemble par l’ordonnance n°2018-1125 du 12 décembre 2018, leur contenu est demeuré inchangé depuis 2011.

116. La formation restreinte, relève, ensuite, que sur la base de ces dispositions, elle a déjà adopté plusieurs décisions de sanction, concernant parfois des pratiques identiques, dont certaines ont d’ailleurs été rendues publiques (voir, en ce sens, délibération n°SAN-2016-204 du 7 juillet 2016 et délibération n°SAN-2017-006 du 27 avril 2017).

117. La formation restreinte souligne, enfin, que bien que les communications de la CNIL relatives aux cookies et traceurs aient connu dernièrement certaines évolutions, les pratiques à l’origine des différentes branches du manquement reproché en l’espèce aux deux sociétés ont été continuellement considérées comme non conformes par la CNIL, que cela soit par la première recommandation du 5 décembre 2013 ou par les lignes directrices du 4 juillet 2019, en vigueur à la date des constatations faites par la délégation de la CNIL. Elle relève, à titre d’information, que la deuxième recommandation et la dernière version des lignes directrices, qui datent du 17 septembre 2020 et qui ont été publiées le 1er octobre 2020, s’inscrivent également dans cette continuité. En tout état de cause, comme rappelé ci-avant, les pratiques non conformes relevées dans le cadre de cette procédure sont appréciées au regard de la loi informatique et libertés et non des lignes directrices ou des recommandations de la CNIL.

118. S’agissant plus particulièrement du délai d’adaptation à compter de la publication des lignes directrices du 4 juillet 2019 invoqué par les sociétés, la formation restreinte relève qu’il est, en l’espèce, inopérant, dès lors que les pratiques en cause portent précisément sur les obligations dont la CNIL avait pris soin, dans son communiqué publié sur son site web le 18 juillet 2019, de préciser qu’elles demeuraient opposables aux responsables de traitement, en les avertissant que cette période d’adaptation [ne l’empêchera pas] de contrôler pleinement le respect des autres obligations qui n’ont fait l’objet d’aucune modification et, le cas échéant, d’adopter des mesures correctrices pour protéger la vie privée des internautes. En particulier, les opérateurs doivent respecter le caractère préalable du consentement au dépôt de traceurs […] et doivent fournir un dispositif de retrait du consentement facile d’accès et d’usage .

119. En raison de la permanence du fondement juridique et des dispositions au regard desquels le manquement est constitué et de la constance de la position de la CNIL vis-à-vis des pratiques qui font l’objet de la présente procédure, la formation restreinte considère que le prononcé d’une amende administrative à l’encontre de chacune des sociétés sans mise en demeure préalable ne contreviendrait pas au principe de légalité des délits et des peines.

B. Sur le prononcé d’amendes administratives et leur montant

120. Les sociétés font valoir que le montant de l’amende proposée par le rapporteur est disproportionné et estimé de manière discrétionnaire dès lors que, contrairement à d’autres autorités administratives françaises ou européennes disposant d’un pouvoir de sanction, la CNIL n’a pas fourni de lignes directrices pour le calcul de ses amendes.

121. Elles ajoutent que ce montant devrait être significativement réduit notamment en application de l’alinéa f) de l’article 83, paragraphe 2 du Règlement afin de prendre en compte leur forte coopération avec la CNIL depuis le début de la procédure en vue de mettre fin au manquement et d’en atténuer les éventuels effets négatifs.

122. La formation restreinte rappelle, à titre général, que l’article 20, paragraphe III, de la loi informatique et libertés lui donne compétence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut être équivalant à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent réalisé par le responsable de traitement. Elle ajoute que la détermination du montant de ces amendes s’apprécie au regard des critères précisés par l’article 83 du RGPD.

123. En premier lieu, la formation restreinte souligne qu’il convient, en l’espèce, de faire application du critère prévu à l’alinéa a) de l’article 83, paragraphe 2 du Règlement relatif à la gravité du manquement compte tenu de la nature et de la portée du traitement.

124. Ainsi, la formation restreinte relève que le moteur de recherche […] Search, à partir duquel sont déposés les cookies en cause, a une portée considérable en France, l’Autorité de la concurrence ayant relevé qu’il dominait le marché de la recherche en ligne avec une part de marché supérieure à 90% (ADLC, 19 déc. 2019, déc. n° 19-D-26, pt. 313).

125. Elle souligne que le moteur de recherche […] Search comptabilisant au moins 47 millions d’utilisateurs en France, ce qui correspond à 70% de la population française, le nombre de personnes concernées par le traitement est extrêmement important.

126. Au regard de la structuration de ce marché, la formation restreinte considère que la gravité du manquement est caractérisée par le fait qu’en ne respectant pas plusieurs des exigences de l’article 82 de la loi informatique et libertés , les sociétés privent les utilisateurs de […] Search résidant en France de la possibilité de choisir entre des modalités de recherche préservant davantage la confidentialité de leurs données et des modalités permettant une meilleure personnalisation du service, réduisant ainsi l’autonomie informationnelle et le choix des personnes.

127. Enfin, la formation restreinte relève que le manquement est d’autant plus grave au regard du rôle joué par les moteurs de recherche dans l’accès à l’information, a fortiori par celui développé par les sociétés. À cet égard, la puissance de cette position dominante donne une valeur sans égale aux cookies déposés par les sociétés à partir de leur moteur de recherche car ils assurent les sites tiers de toucher le maximum d’utilisateurs et, s’agissant de cookies traceurs, de pouvoir les suivre avec la plus grande efficacité.

128. En deuxième lieu, la formation restreinte estime qu’il convient de faire application du critère prévu à l’alinéa k) de l’article 83, paragraphe 2, du Règlement relatif aux avantages financiers obtenus du fait du manquement.

129. Ainsi, elle souligne que le groupe XY réalise l’essentiel de ses bénéfices dans les deux principaux segments du marché de la publicité en ligne que constituent la publicité par affichage (Display Advertising) et la publicité contextuelle (Search Advertising), dans lesquels les cookies jouent un rôle indéniable, quoique différent.

130. Tout d’abord, dans le segment de la publicité par affichage, dont l’objet est d’afficher un contenu dans une zone spécifique d’un site web et dans lequel les cookies et traceurs sont utilisés pour identifier les utilisateurs au cours de leur navigation aux fins de leur proposer les contenus les plus personnalisés, il est établi que le groupe XY propose des produits à tous les échelons de la chaîne de valeur de ce segment et que ses produits sont systématiquement dominants sur ces différents échelons. À cet égard, le groupe XY indique, sur un de ses sites web, qu’il propose pour la publicité un écosystème accessible depuis ses outils et services capable de toucher plus de 2 millions de sites, vidéos et applications et plus de 90% des utilisateurs de l’Internet dans le monde.

131. Ensuite, le segment de la publicité contextuelle, dont l’objet est d’afficher des résultats sponsorisés en fonction des mots clef tapés par les utilisateurs dans un moteur de recherche, nécessite également l’usage de cookies dans sa mise en œuvre pratique, par exemple pour pouvoir déterminer la localisation géographique des utilisateurs et, par-là, adapter les annonces proposées en fonction de cette localisation. À cet égard, il ressort du rapport annuel de la société ALPHABET pour l’année 2019 que ce segment constitue à lui seul, à travers notamment le service […] ads – anciennement AdWords -, 61% du chiffre d’affaires du groupe XY.

132. La formation restreinte n’a pas connaissance du montant du bénéfice tiré par le groupe XY de la collecte et de l’exploitation de cookies sur le marché français via le revenu généré par la publicité ciblée sur des internautes français, les sociétés mises en cause n’ayant pas fourni cette information alors qu’elles y étaient invitées dans le cadre de l’instruction du dossier. À titre d’ordre de grandeur, et afin d’apprécier la proportionnalité du montant de sanction proposé par le rapporteur, elle relève qu’une approximation proportionnelle à partir des données chiffrées accessibles publiquement conduirait à estimer que la France contribuerait pour entre 680 et 755 millions de dollars au résultat net annuel d’ALPHABET, la société-mère du groupe XY, soit, au taux de change actuel, entre 580 et 640 millions d’euros.

133. En troisième lieu, en ce qui concerne le critère prévu à l’alinéa f) de l’article 83, paragraphe 2 du Règlement invoqué par les sociétés au soutien d’une diminution de l’amende proposée à leur encontre par le rapporteur, la formation restreinte relève qu’il ressort de l’article 18 de la loi informatique et libertés que les responsables de traitement ne peuvent s’opposer à l’action de la Commission et qu’ils doivent prendre toutes mesures utiles afin de faciliter sa tâche . La coopération avec l’autorité de contrôle constitue ainsi d’abord une obligation prévue par la loi.

134. Pour que cette coopération puisse devenir éventuellement une circonstance atténuante à la caractérisation du manquement et, par-là, contribuer à la diminution de l’amende initialement envisagée, la formation restreinte souligne que le responsable de traitement doit non seulement s’être préalablement acquitté de son obligation au titre de l’article 18 précité mais également avoir satisfait de manière particulièrement diligente aux demandes de l’autorité de contrôle pendant la phase d’enquête et mis en œuvre toute mesure en son pouvoir permettant de réduire aux maximum l’incidence du manquement sur les personnes concernées.

135. En l’espèce, la formation restreinte relève que les sociétés n’ont notamment jamais communiqué aux services de la Commission les revenus publicitaires des sociétés X et Y réalisés en France, éléments financiers pourtant demandés à plusieurs reprises par le rapporteur, en amont et à la suite de l’audition du 22 juillet 2020. En conséquence, la coopération dont elles ont fait preuve ne devrait avoir aucune incidence sur le montant de leur amende dès lors qu’elle est à peine conforme à ce que la CNIL est en droit d’attendre d’un responsable de traitement.

136. En conclusion, la formation restreinte rappelle que le manquement à l’article 82 informatique et libertés est en l’espèce triplement caractérisé, dès lors qu’en déposant automatiquement les cookies en cause sur les terminaux des utilisateurs résidant en France lors de leur arrivée sur la page […].fr les sociétés ne satisfaisaient ni à l’exigence d’une information préalable, claire et complète des utilisateurs, ni à celle du recueil obligatoire de leur consentement et que, en outre, le mécanisme d’opposition à ces cookies s’avérait partiellement défaillant.

137. Elle souligne qu’en raison de la portée du moteur de recherche […] Search en France ces pratiques ont affecté près de cinquante millions d’utilisateurs résidant en France et que les sociétés en ont tiré des bénéfices considérables à travers les revenus publicitaires indirectement générés par les données collectées par ces cookies.

138. En application des dispositions de l’article 20, paragraphe III, de la loi informatique et libertés , les sociétés encourent une sanction financière d’un montant maximum de 2% de leur chiffre d’affaires, lequel était de 38 milliards d’euros en 2018 pour la société Y et de 160 milliards de dollars en 2019 pour la société X.

139. Dès lors, au regard des responsabilités respectives des sociétés, de leurs capacités financières et des critères pertinents de l’article 83, paragraphe 2, du Règlement évoqués ci-avant, la formation restreinte estime qu’une amende de 60 000 000 euros à l’encontre de la société X et une amende de 40 000 000 euros à l’encontre de la société Y apparaissent effectives, proportionnées et dissuasives, conformément aux exigences de l’article 83, paragraphe 1, de ce Règlement.

C. Sur le prononcé d’une injonction

140. Les sociétés soutiennent que les demandes formulées au titre de l’injonction proposée par le rapporteur et relatives notamment à l’information des personnes et au dépôt préalable de cookies soumis à consentement sont devenues sans objet […].

141. Elles contestent par ailleurs le montant de l’astreinte journalière proposée en complément des injonctions dès lors que le rapporteur n’apporte pas la démonstration de la nécessité de cette astreinte ni de la proportionnalité de son montant, qui est le montant maximal prévu par la loi informatique et libertés .

142. En premier lieu, la formation restreinte relève qu’en l’état actuel de l’information fournie aux utilisateurs, les sociétés n’informent toujours pas les utilisateurs résidant en France, de manière claire et complète, des finalités de tous les cookies soumis au consentement et des moyens dont ils disposent pour les refuser, […] Elle estime dès lors nécessaire le prononcé d’une injonction afin que les sociétés se mettent en conformité avec les obligations applicables en la matière.

143. En second lieu, la formation restreinte souligne qu’une astreinte journalière est une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu. Son prononcé peut donc parfois s’avérer nécessaire pour s’assurer de la mise en conformité du responsable de traitement sous un certain délai.

144. La formation restreinte ajoute qu’aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité des manquements reprochés mais également adapté aux capacités financières du responsable de traitement. Elle relève, par ailleurs, que dans certaines hypothèses, comme en l’espèce, ce montant se doit d’être d’autant plus élevé que le manquement concerné par l’injonction participe indirectement aux bénéfices générés par le responsable de traitement.

145. Au regard de ces deux éléments, la formation restreinte considère proportionné le prononcé d’une astreinte d’un montant de 100 000 euros par jour de retard et liquidable à l’issue d’un délai de trois mois. Le délai d’exécution laissé est également raisonnable compte tenu des moyens techniques dont disposent les sociétés et de la capacité d’adaptation dont elles se prévalent.

D. Sur la publicité

146. La formation restreinte considère que la publicité de la présente décision se justifie au regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées.

147. La formation restreinte estime que cette mesure permettra d’alerter les utilisateurs français du moteur de recherche […] Search de la caractérisation du manquement à l’article 82 de la loi informatique et libertés dans ses différentes branches et de les informer de la persistance du manquement au jour de la présente délibération et de l’injonction prononcée à l’encontre des sociétés pour y remédier. Elle ajoute que cette mesure est rendue d’autant plus nécessaire que les cookies litigieux étaient déposés à l’insu des utilisateurs, de sorte que seule la publicité de la présente décision leur permettra de prendre connaissance des pratiques en cause.

148. Enfin, la mesure n’est pas disproportionnée dès lors que la décision n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide de :

• prononcer à l’encontre de la société X une amende administrative d’un montant de 60 000 000 euros (soixante millions d’euros) pour manquement à l’article 82 de la loi informatique et libertés ;

• prononcer à l’encontre de la société Y une amende administrative d’un montant de 40 000 000 euros (quarante millions d’euros) pour manquement à l’article 82 de la loi informatique et libertés ;

• prononcer à l’encontre des sociétés X et Y une injonction de mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés , en particulier :

o Informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site […].fr :

– des finalités de tous les cookies soumis au consentement,

– des moyens dont elles disposent pour les refuser ;

• assortir l’injonction d’une astreinte de 100 000 € (cent mille euros) par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai ;

• adresser cette décision à la société Z SARL en vue de l’exécution de cette décision ;

• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

Le président

Alexandre LINDEN

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.