La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2020-128C du 8 septembre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine […] ou portant sur des données à caractère personnel collectées à partir de ce dernier, auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;

Vu la décision n° 2020-253C du 8 septembre 2020 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […] ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 23 décembre 2021 ;

Vu le rapport de Monsieur François PELLEGRINI, commissaire rapporteur, notifié à la société […] le 13 juillet 2022 ;

Vu les observations écrites versées par la société […] le 9 septembre 2022 ;

Vu la réponse du rapporteur à ces observations notifiée le 10 octobre 2022 au conseil de la société ;

Vu les observations écrites de la société […] reçues le 15 novembre 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 1er décembre 2022 :

– Monsieur François PELLEGRINI, commissaire, entendu en son rapport ;

En qualité de représentants de la société […]:

– […] ;

La société […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société […], société multinationale créée en 1976 dont le siège social est situé aux États-Unis, a pour activité principale le développement et la vente de systèmes d’exploitation, de logiciels applicatifs, de matériels et de services dérivés. Elle a également une activité de conseil et de support pour l’ensemble des produits […]. Son chiffre d’affaires s’élevait à 143 milliards de dollars en 2020 et à 168 milliards de dollars en 2021. Elle employait en 2020 près de 148 000 personnes dans 120 pays.

2. La société […] (ci-après  » […] « ), est une filiale de la société […] dont le siège social est situé […] à Dublin. Son activité principale est le marketing et la vente de logiciels pour la région Europe et Asie-Pacifique. Son chiffre d’affaires s’élevait, en 2020, à […] pour un bénéfice annuel de […] et à […] pour un bénéfice annuel de […] en 2021.

3. La société […] exploite et développe le moteur de recherche […] dans l’Espace économique européen. Le domaine […] accessible depuis la France comptait 10 801 000 utilisateurs uniques résidant en France en septembre 2020 et le chiffre d’affaires attribuable au domaine […] en France s’est élevé à […] en 2020 et à […] en 2021.

4. La société […], filiale de la société […] et société sœur de la société […], est une société par actions simplifiée, immatriculée au registre du commerce et des sociétés de Nanterre sous le numéro […], dont le siège social est situé […]. Elle est spécialisée dans la distribution, la promotion et la vente de produits et services informatiques. En 2020, elle a réalisé un chiffre d’affaires de 2,2 milliards d’euros, pour un résultat net de 77,9 millions d’euros et, en 2021, de 2,6 milliards d’euros pour un résultat net de 92,4 millions d’euros.

5. À la suite d’une saisine enregistrée le 21 février 2020 dans laquelle le plaignant dénonçait les conditions de recueil de son consentement au dépôt de traceurs ( » cookies « ) à partir du domaine […], une délégation de la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a effectué un contrôle en ligne sur le site web […], le 29 septembre 2020, en application des décisions n° 2020-128C et 2020-253C du 8 septembre 2020 de la présidente de la CNIL. L’objet de ce contrôle était de vérifier la conformité de tout traitement accessible à partir du domaine […] depuis un terminal situé en France à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés « ) et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD  » ou  » le Règlement « ).

6. Le procès-verbal de constatations en ligne n° 2020-128-1, dressé à l’issue du contrôle et notifié aux sociétés […], […] et […] le 15 octobre 2020, invitait les sociétés à répondre à plusieurs questions portant notamment sur l’identification de l’entité qui détermine les finalités et les modalités de mise en œuvre des traitements de données à caractère personnel relatifs à la publicité ciblée sur les différents domaines visités lors du contrôle et accessibles à partir du domaine […], ainsi que la finalité de chacun des cookies mentionnés dans le procès-verbal.

7. Le 13 novembre 2020, la société […] a transmis des éléments de réponse à la CNIL.

8. Le 4 février 2021, la société […] a été auditionnée et a fourni des réponses aux questions posées par la délégation, relatives notamment aux relations entre les sociétés […], […] et […], à l’organisation de la protection des données à caractère personnel au sein de […] et à la responsabilité des traitements de publicité ciblée liés au moteur de recherche […]. Le 16 février 2021, la société […] a transmis des éléments de réponse complémentaires.

9. Le 11 mai 2021, un deuxième contrôle en ligne a été effectué par une délégation de la CNIL. Lors de ce contrôle, la délégation a suivi le parcours suivant afin d’identifier si des cookies sont déposés sur l’équipement de l’utilisateur :

– la délégation s’est rendue sur le domaine […] ;

– puis, sans cliquer sur aucun des boutons ou liens qui s’affichent sur le bandeau de gestion des cookies (intitulés  » Accepter  » ou  » Plus d’options  » ou  » Déclaration de confidentialité « ), elle a poursuivi sa navigation sur le moteur de recherche avant d’être bloquée par une fenêtre surgissante ;

– enfin, la délégation a cliqué sur les liens  » Déclaration de confidentialité  » et  » Plus d’options  » situés sur la fenêtre surgissante. À partir du lien  » plus d’options « , la délégation a autorisé le dépôt de cookies sur son terminal en cliquant sur le bouton  » Autoriser tout « .

10. La délégation de contrôle a demandé aux sociétés […], […] et […], dans le cadre du procès-verbal de constatations en ligne dressé à l’issue du contrôle, des précisions complémentaires sur les finalités de chacun des cookies mentionnés dans ledit procès-verbal et des explications quant au déclenchement de la finalité publicitaire du cookie […].

11. Les 12 juillet et 31 août 2021, sur la base d’informations fournies par la société […], la société […] a communiqué des éléments de réponse complémentaires aux demandes formulées par la délégation.

12. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 23 décembre 2021, désigné Monsieur François PELLEGRINI en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019.

13. Le 30 mars 2022, le conseil de la société […] a communiqué à la CNIL un procès-verbal d’huissier du 29 mars 2022 constatant la mise à jour du bandeau relatif aux cookies.

14. Le 13 juillet 2022, le rapporteur a fait notifier à la société […] un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société, ainsi qu’une injonction, assortie d’une astreinte, de cesser de déposer le cookie […] soumis au recueil du consentement des personnes résidant en France lors de l’arrivée sur le site web […], avant même qu’elles n’aient eu la possibilité d’effectuer un choix quant aux opérations d’accès ou d’inscription d’informations dans leur terminal. Il proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication

15. Le 9 septembre 2022, la société a produit ses observations en réponse au rapport de sanction.

16. Le 22 septembre 2022, le conseil de la société […] a adressé un courrier à la CNIL, démontrant la mise à jour du centre de gestion des préférences du bandeau cookie du site web […].

17. Le rapporteur a répondu aux observations de la société le 10 octobre 2022.

18. Le 15 novembre 2022, la société a produit de nouvelles observations en réponse à celles du rapporteur.

19. Par courrier du 16 novembre 2022, le rapporteur a informé le conseil de la société que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.

20. Par courrier du 16 novembre 2022, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 1er décembre 2022.

21. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur les traitements en cause et la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de  » guichet unique  » prévu par le RGPD

22. Les traitements objets de la présente procédure, relatifs au dépôt de cookies et traceurs sur le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […], sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, ils entrent dans le champ d’application matériel de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après la directive  » ePrivacy « ).

23. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications électroniques.

24. Aux termes de l’article 16 de la loi Informatique et Libertés,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi « . Au titre de l’article 20, paragraphe III, de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte « .

25. Le rapporteur considère que la CNIL est matériellement compétente pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par la société dans les terminaux des utilisateurs du domaine […] résidant en France.

26. En défense, la société n’a pas fait d’observations sur la compétence de la CNIL

27. La formation restreinte rappelle que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD « ) n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique  » applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […]  » (CE, 10ème et 9ème chambres réunies, 28 janvier 2022, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, pt. 12). Le Conseil d’État a très récemment réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423).

28. Dès lors, la formation restreinte considère que la CNIL est compétente pour engager une procédure de sanction concernant les traitements mis en œuvre par la société relevant du champ d’application de la directive  » ePrivacy « , sous réserve que le traitement se rattache à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

29. La règle d’application territoriale des exigences fixées à l’article 82 de la loi Informatique et Libertés est précisée à l’article 3, paragraphe I, de la même loi qui dispose :  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France « .

30. Le rapporteur considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement, objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de la navigation sur le site web […], est effectué dans le  » cadre des activités  » de la société […], qui constitue  » l’établissement  » sur le territoire français de la société […].

31. En défense, la société n’a pas fait d’observations sur ce point.

32. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français, la formation restreinte rappelle que la Cour de justice de l’Union européenne (ci-après la  » CJUE « ) a considéré de façon constante que la notion d’établissement devait être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un autre État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question (voir, par exemple, CJUE, Weltimmo, 1er oct. 2015, C 230/14, pts. 30 et 31). La CJUE estime en outre qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).

33. En l’occurrence, la formation restreinte relève, tout d’abord, que la société […], est le siège de la filiale française de la société […]. Elle note l’existence d’un programme intitulé  » Resident Guest Employee « , permettant qu’une personne travaillant dans une autre entité que […] soit contractuellement employée par l’entité locale mais dépende, hiérarchiquement et dans les tâches qu’elle effectue, d’une autre entité du groupe […]. La société […] a précisé qu’en l’espèce, plusieurs personnes de l’équipe en charge de la gestion de la publicité du moteur de recherche […], à savoir l’équipe […] qui dépend de la société […], sont des salariés de la société […] et s’occupent du marché français.

34. En second lieu, s’agissant de l’existence d’un traitement effectué  » dans le cadre des activités  » de cet établissement, la formation restreinte relève que, dans sa décision AMAZON EUROPE CORE du 27 juin 2022, le Conseil d’État a rappelé qu’ » il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive  » e-Privacy « ], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué  » dans le cadre des activités  » d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site  » (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, pt. 10). Le Conseil d’État a considéré dans cette même décision que tel était le cas lorsque les activités de l’établissement du responsable de traitement consistent en la promotion et la commercialisation d’outils publicitaires contrôlés et exploités par le responsable de traitement fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site exploité par le responsable de traitement (pt. 15 de la décision précitée).

35. En l’espèce, la formation restreinte note que les opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs situés en France, lors de l’utilisation du moteur de recherche […], sont intrinsèquement liées aux activités de la société […]. En effet, la société […] exploite et développe dans l’Espace économique européen (EEE) le moteur de recherche […], sur lequel des espaces publicitaires sont achetés par des annonceurs, la promotion de ces outils publicitaires étant assurés, pour le marché français, par une partie de l’équipe […].

36. Ainsi, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du moteur de recherche […], est bien effectué  » dans le cadre des activités  » de la société […]. La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis.

37. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive  » ePrivacy « .

B. Sur la détermination du responsable de traitement

38. La formation restreinte relève, tout d’abord, que l’article 4, paragraphe 7, du RGPD est applicable à la présente procédure en raison du recours à la notion de  » responsable de traitement  » dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive  » ePrivacy  » à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.

39. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement « .

40. Le rapporteur considère que la société […] agit en qualité de responsable du traitement en cause, en ce qu’elle détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscriptions d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche […].

41. La société n’a pas fait valoir d’observations sur ce point.

42. La formation restreinte souligne que, dans son courrier du 13 novembre 2020, la société […], qui communique  » sur la base des informations qui [lui] ont été communiquées par […] », faisait état du rôle de […] en tant que responsable du traitement des données effectué à partir du domaine […] pour les utilisateurs de l’EEE, du Royaume-Uni et de la Suisse et précisait que […] exerçait une influence décisive sur les finalités et les modalités de mise en œuvre des traitements et notamment les traitements relatifs à la publicité ciblée. La formation restreinte relève enfin que ces propos ont été confirmés par la société […] lors de l’audition du 4 février 2021.

43. Il résulte de ce qui précède que la société […] détermine les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscriptions d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du moteur de recherche […], et agit donc en qualité de responsable du traitement en cause.

C. Sur le manquement aux obligations en matière de cookies

44. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive  » ePrivacy « ,  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

1. Sur l’obligation de recueillir le consentement de l’utilisateur au dépôt et à la lecture des cookies

a. En ce qui concerne le dépôt d’un cookie sur le terminal de l’utilisateur avant toute action de sa part, sans recueil de son consentement

45. Dans son rapport, le rapporteur relève que les contrôles effectués ont permis de constater que dès l’arrivée sur le site […], avant toute action de la part de l’utilisateur, le cookie […] était déposé sur le terminal de l’utilisateur. D’après les informations communiquées par […] dans le cadre de la procédure de contrôle, il s’agit d’un cookie multi-finalités utilisé pour assurer la sécurité du service, pour mesurer l’utilisation du site web et pour la présentation de publicités. La société a indiqué qu’un mécanisme de recueil du consentement permettait de déclencher les finalités publicitaires de ce cookie. La société précisait néanmoins que lorsque la finalité publicitaire de ce cookie n’était pas activée, il était utilisé pour la détection et le filtrage des fraudes publicitaires concernant les publicités non ciblées. Le rapporteur relève que les cookies relatifs à la détection et au filtrage des fraudes publicitaires s’inscrivent dans la finalité plus large de la publicité contextuelle qui recouvre l’ensemble des techniques publicitaires consistant à proposer des contenus publicitaires en fonction du contexte dans lequel se trouve l’individu exposé au message. Il considère que ces cookies n’ont donc pas pour finalité exclusive de permettre ou faciliter la communication par voie électronique et ne peuvent pas non plus être regardés comme strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur. Le rapporteur considère ainsi que la société […] méconnaît les obligations de l’article 82 de la loi  » Informatique et Libertés  » en déposant ce cookie sans le consentement de l’utilisateur.

46. En défense, la société explique que le cookie […] est un cookie multi-finalités, utilisé à des fins essentielles et non essentielles pour éviter d’utiliser plusieurs cookies chacun pour une finalité, afin de réduire le nombre de lectures et écritures d’informations entre le terminal de l’utilisateur et […]. La société indique que seules les finalités essentielles sont activées avant que l’utilisateur donne son consentement. La société fait valoir qu’elle considère comme des finalités essentielles à la fonctionnalité de […]: les finalités de lutte contre la fraude, y compris la fraude publicitaire, de sécurité telles que la prévention des attaques par déni de service, de détection des logiciels malveillants et de lutte contre la désinformation. La société soutient que ces finalités indissociables sont strictement nécessaires à la fourniture des services […] tels que demandés par l’utilisateur. La société précise qu’en l’absence de consentement de l’utilisateur, la seule finalité publicitaire pour laquelle le cookie […] est utilisé est la publicité non ciblée dans le cadre de la lutte contre la fraude publicitaire.

47. Dans sa réponse, le rapporteur rappelle que, lorsque la finalité publicitaire du cookie […] n’était pas activée, ce cookie était néanmoins utilisé pour la détection et le filtrage des fraudes publicitaires concernant les publicités non ciblées. Il considère donc que le dépôt de ce cookie nécessite de recueillir au préalable le consentement de l’utilisateur pour cette finalité. En outre, le rapporteur précise, en réponse à l’argumentation de la société considérant la finalité de lutte contre la fraude au sens large comme une finalité essentielle exemptée de consentement, que seule la finalité de lutte contre les attaques en déni de service pourrait être exemptée de consentement. Le rapporteur relève que les autres finalités évoquées ne relèvent pas du champ des exemptions prévues par l’article 82 de la loi Informatique et Libertés puisqu’elles n’ont pas vocation à faciliter une communication électronique et ne sont pas strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur.

[… passage central omis : décision trop longue pour une cellule …]

69. La formation restreinte considère, ainsi que la Commission l’a rappelé dans ses lignes directrices précitées, que si le refus de l’utilisateur de consentir aux cookies peut se déduire de son silence, c’est à la condition que l’utilisateur en soit pleinement informé. A défaut, l’équilibre entre les modalités d’acceptation et de refus n’est pas respecté. Or, tel n’était pas le cas en l’espèce : en visualisant le bandeau, l’utilisateur n’était pas informé des moyens dont il disposait pour ne pas consentir de manière simple aux cookies.

70. La formation restreinte estime au contraire qu’il n’était pas intuitif pour l’utilisateur de considérer qu’en continuant à naviguer sans effectuer d’action sur le bandeau cookies, aucun cookie ne serait déposé. Elle relève par ailleurs que, si une telle navigation sans action sur le bandeau était effectivement possible, ainsi que la délégation de contrôle l’a constaté lors du contrôle en ligne effectué le 11 mai 2021, un choix était imposé concernant le dépôt de cookie après trois recherches à partir du moteur de recherche, par le biais d’une fenêtre surgissante présentant un bouton  » Accepter  » et un bouton  » Plus d’options « . Dès lors, le choix le plus simple pour un internaute était l’acceptation des cookies via le bouton  » Accepter « . Ainsi, la formation restreinte considère qu’en l’absence d’information sur les conséquences de son inaction, l’utilisateur souhaitant refuser les cookies était fortement incité à cliquer sur le bouton  » Plus d’options  » puis à effectuer les deux actions décrites ci-avant.

71. De surcroît, la formation restreinte relève le caractère peu explicite du bouton  » Plus d’options  » proposé dans le cadre de la première fenêtre, qui ne mentionnait pas clairement l’existence de moyens permettant de refuser les cookies ainsi que l’ambiguïté de l’utilisation de l’infinitif  » Désactiver  » dans le cadre de la deuxième fenêtre, pouvant amener l’utilisateur à penser que les cookies étaient par défaut autorisés. Elle estime que le fait que les cookies n’étaient pas déposés est sans incidence sur la confusion générée par le parcours informationnel qui pouvait donner à l’utilisateur le sentiment qu’il n’était pas possible de refuser le dépôt de cookies et qu’il ne disposait pas de modalités de contrôle à cet égard ou encore à se tromper lors de la désactivation de ces cookies.

72. En second lieu, la formation restreinte note qu’il ressort de plusieurs études que les organismes ayant mis en place un bouton  » Tout refuser  » sur l’interface de recueil du consentement au premier niveau ont vu le taux de consentement relatif à l’acceptation des cookies diminuer. Ainsi, selon le  » baromètre Privacy – édition 2021  » publié par la société COMMANDERS ACT, le taux de consentement sur ordinateur est passé de 70% à 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De même, selon une étude 366-Kantar, il apparaît que 41% des internautes en France ont refusé, systématiquement ou partiellement, le dépôt de cookies en juin 2021.

73. La formation restreinte estime en outre que le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton  » Accepter « . En effet, un utilisateur d’Internet est généralement conduit à consulter de nombreux sites. La navigation sur Internet se caractérise par sa rapidité et sa fluidité. Le fait de devoir cliquer sur  » Plus d’options  » et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de décourager l’utilisateur, qui souhaiterait pourtant refuser le dépôt des cookies. Il n’est pas contesté qu’en l’espèce, la société offrait un choix entre l’acceptation ou le refus des cookies avant l’insertion du bouton  » Tout refuser « , mais les modalités par lesquelles ce refus pouvait être exprimé, dans le contexte de la navigation sur internet, biaisait l’expression du choix en faveur du consentement de façon à altérer la liberté de choix.

74. Au regard de ce qui précède, la formation restreinte considère qu’un manquement aux dispositions de l’article 82 de la loi Informatique et Libertés, interprétées à la lumière du