L’essentiel
La décision rappelle qu’une procédure peut être engagée indépendamment de la recevabilité d’une plainte, la CNIL disposant d’un pouvoir d’enquête et de contrôle en vertu de l’article 57, paragraphe 1, a) et h), du RGPD. Le consentement exigé par l’article 4, point 11, du RGPD doit être libre, spécifique, éclairé et univoque, par une déclaration ou un acte positif clair. Une acceptation globale des conditions d’utilisation et de traitements multiples ne satisfait pas l’exigence de spécificité. Des paramètres pré-cochés, accessibles seulement après activation d’une option supplémentaire, organisent une opposition au traitement plutôt qu’un consentement valable.
La formation restreinte a retenu des manquements aux articles 6, 12 et 13 du RGPD. Elle a considéré que l’article 45 de la loi du 6 janvier 1978 permettait au président de la CNIL de saisir directement la formation restreinte sans mise en demeure préalable. La gravité, la durée, l’ampleur des traitements et le nombre de personnes concernées justifiaient une sanction pécuniaire, appréciée selon les critères de l’article 83 du RGPD.
En résumé
- Exclusion de la qualification d’établissement principal européen faute de pouvoir décisionnel démontré
- Compétence de la CNIL en l’absence d’autorité chef de file identifiée
- Consentement publicitaire invalide en présence de cases pré-cochées et d’acceptation globale
- Manquements retenus aux articles 6, 12 et 13 du RGPD
- Sanction fondée sur la gravité, la durée et l’ampleur des traitements
Contexte de l’affaire
La CNIL a réalisé un contrôle en ligne portant sur la création d’un compte lors de la configuration d’un appareil mobile, puis a engagé une procédure de sanction. La société a contesté la compétence de la CNIL, en soutenant que sa filiale irlandaise constituait son établissement principal européen, ainsi que la régularité de la procédure et les modalités de recueil du consentement.
La formation restreinte a retenu que la filiale ne disposait pas du pouvoir décisionnel nécessaire pour être qualifiée d’établissement principal. Elle a également constaté que les paramètres de personnalisation publicitaire étaient pré-cochés et que leur accès nécessitait une action supplémentaire. L’acceptation globale des conditions et des traitements n’a donc pas été considérée comme un consentement spécifique et univoque.
Conditions / critères (ce que le juge vérifie)
- Pouvoir décisionnel effectif sur les finalités et moyens des traitements
- Absence d’établissement principal européen compétent pour les traitements concernés
- Consentement libre, spécifique, éclairé et univoque
- Acte positif clair distinct pour chaque finalité de traitement
- Absence de cases ou paramètres pré-cochés
- Information transparente sur les traitements et leurs finalités
- Appréciation de la gravité, de la durée et de l’ampleur des manquements
Preuves retenues (ce qui a fait pencher la décision)
- Procès-verbal du contrôle en ligne réalisé par la CNIL
- Règles de confidentialité présentées lors de la création du compte
- Conditions générales et cases d’acceptation affichées à l’utilisateur
- Parcours de création du compte et bouton « plus d’options »
- Paramètres de personnalisation publicitaire pré-cochés
- Éléments produits sur les pouvoirs décisionnels de l’établissement européen
Conséquences pratiques
- Exclusion du consentement valable pour la personnalisation publicitaire
- Maintien de la compétence directe de la CNIL
- Risque de sanction au titre des articles 6, 12 et 13 du RGPD
- Nécessité de présenter distinctement chaque finalité
- Suppression des paramètres pré-cochés et des parcours masqués
Checklist pour Avocats
À faire
- Identifier l’entité décidant des finalités et moyens
- Documenter les pouvoirs décisionnels de chaque établissement
- Présenter séparément chaque finalité publicitaire
- Recueillir un acte positif clair et non pré-coché
- Conserver les preuves du parcours de consentement
À éviter
- Assimiler le siège social à l’établissement principal
- Regrouper le consentement avec l’acceptation contractuelle
- Pré-cocher les options de personnalisation publicitaire
- Masquer les choix derrière une option supplémentaire
- Fonder la conformité sur une ancienne recommandation cookies
FAQ / Q-R juridiques
L’établissement principal du responsable de traitement
La qualification d’établissement principal, au sens de l’article 4, point 16, du RGPD, suppose l’exercice effectif et réel d’activités de gestion déterminant les décisions principales relatives aux finalités et aux moyens du traitement, ainsi que le pouvoir de faire appliquer ces décisions. La détention de moyens humains, financiers, commerciaux ou administratifs ne suffit pas. L’appréciation doit être concrète et ne découle pas automatiquement du siège social européen.
Le consentement spécifique aux traitements publicitaires
Selon l’article 4, point 11, du RGPD, le consentement doit résulter d’une manifestation libre, spécifique, éclairée et univoque, par déclaration ou acte positif clair. La formation restreinte a exclu un consentement valable lorsque l’utilisateur accepte globalement les conditions et plusieurs traitements, ou lorsque les paramètres publicitaires sont pré-cochés et accessibles après l’activation de « plus d’options ». Ces modalités permettent une opposition, non un consentement spécifique.
La sanction des manquements au RGPD
L’article 45 de la loi du 6 janvier 1978 permet au président de la CNIL de saisir directement la formation restreinte, sans mise en demeure préalable. La sanction est appréciée au regard des critères de l’article 83 du RGPD. La formation a retenu la gravité intrinsèque des manquements aux articles 6, 12 et 13, leur caractère continu, l’ampleur des traitements, le nombre de personnes concernées et le caractère intrusif des données combinées.
Textes cités
RGPD & protection des données
Approfondir ce sujet :