La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, Mesdames Christine MAUGÜE et Anne DEBET et Monsieur Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2021-044C du 6 avril 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles à partir du domaine  » [V].com  » ou portant sur des données à caractère personnel collectées à partir de ce dernier ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 26 juillet 2021 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la société [X] le 1er septembre 2021 ;

Vu les observations écrites versées par le conseil de la société [X] le 8 octobre 2021 ;

Vu la réponse de la rapporteure à ces observations notifiée à la société [X] le 28 octobre 2021 ;

Vu les nouvelles observations écrites versées par le conseil de la société [X], reçues le 21 novembre 2021 ;

Vu le courrier adressé par la société [X] au président de la formation restreinte et à la rapporteure le 6 décembre 2021 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présentes, lors de la séance de la formation restreinte du 2 décembre 2021 :

Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants de la société [X] :

[…] ;

La société [X] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

Faits et procédure

Créée en […] et ayant son siège social aux Etats-Unis ([…]), la société [Y], […], a développé un réseau social (ci-après  » le réseau social [V] « ), disponible sur le web et sur application mobile, qui permet aux utilisateurs ayant créé un compte de partager leurs expériences et d’échanger. Ce dernier regroupe actuellement plus de 2,5 milliards d’utilisateurs actifs par mois dans le monde.

La société [Y] possède plusieurs dizaines de bureaux implantés dans une trentaine de pays et compte plus de 35 000 salariés à travers le monde. Elle dispose de sa propre régie publicitaire et, depuis sa création, elle a notamment acquis […] ainsi que […] . En 2020, elle a réalisé un chiffre d’affaires de près de 86 milliards de dollars pour un résultat net de plus de 29 milliards de dollars. 98% de ce chiffre d’affaires est généré par les revenus issus de la publicité mise en œuvre dans le cadre de ses produits et services.

La société [X] (ci-après  » [X] « ), sise […], se présente comme étant le siège du groupe [W] pour ses activités dans la région européenne depuis 2008. Filiale de la société [Y] elle emploie environ […] personnes. En 2019, elle a réalisé un chiffre d’affaires de plus de […]d’euros pour un résultat net de plus de […] d’euros.

La société [Z], située […], est l’établissement de [Y] en France. Filiale de la société [Y], elle emploie […] salariés. En 2019, elle a réalisé un chiffre d’affaires de plus de […] d’euros pour un résultat net […] d’euros.

Le 8 avril 2021, faisant suite à quatre saisines enregistrées entre octobre 2020 et mars 2021, une délégation de la CNIL a effectué un contrôle en ligne sur le site web  » [V].com  » en application de la décision n° 2021-044C du 6 avril 2021 de la présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ).

Cette mission avait pour objet de vérifier le respect, par la société, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi  » Informatique et Libertés  »  » ou  » loi du 6 janvier 1978 « ), en lien avec les traitements consistant en des opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs résidant en France lors de leur visite sur le site web  » [V].com « .

Le 16 avril 2021, la délégation a adressé deux questionnaires aux sociétés [Z] et [X] afin notamment de leur faire préciser les finalités des opérations de lecture et/ou d’écriture effectuées à partir du site web  » [V].com  » dans le terminal des utilisateurs résidant en France et de leur faire confirmer que la société [X] avait bien la responsabilité de traitement de ces opérations. Les sociétés étaient également invitées à préciser leur organisation, leurs activités et les liens qui les unissent.

Ces dernières ont respectivement répondu à ces questionnaires les 21 mai et 11 juin 2021, en confirmant notamment que la société [X] agissait en tant que  » responsable du traitement pour les traitements de données à caractère personnel mis en œuvre dans le cadre de la fourniture du service [V] aux utilisateurs dans la région européenne, en ce compris pour les opérations d’écriture et de lecture de cookies sur le site internet  » [V].com  » « .

Le 26 juillet 2021, sur le fondement de l’article 22 de la loi du 6 janvier 1978, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure aux fins d’instruction de ces éléments.

Le 1er septembre 2021, à l’issue de son instruction, la rapporteure a fait notifier à la société [X] un rapport détaillant le manquement à la loi  » Informatique et Libertés  » qu’elle estimait constitué en l’espèce s’agissant de la liberté du consentement, la société ne mettant notamment pas à disposition des utilisateurs situés en France, sur le site web  » [V].com « , un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage. Était également jointe au rapport une convocation à la séance de la formation restreinte du 2 décembre 2021.

Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre de la société [X], ainsi qu’une injonction de mettre en conformité le traitement consistant en des opérations de lecture et/ou d’écriture d’informations effectuées à partir du site web  » [V].com  » dans le terminal des utilisateurs résidant en France avec les dispositions de l’article 82 de la loi  » Informatique et Libertés « , assortie d’une astreinte. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

Par courrier du 6 septembre 2021, la société a sollicité un délai complémentaire auprès du président de la formation restreinte pour produire ses observations en réponse au rapport de la rapporteure, qui lui a été accordé le 9 septembre suivant, sur le fondement de l’article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi  » Informatique et Libertés  » (ci-après  » le décret du 19 mai 2019 « ).

Le 8 octobre 2021, la société a produit des observations en réponse au rapport de la rapporteure.

Le 18 octobre 2021, la rapporteure a demandé au président de la formation restreinte un délai supplémentaire pour répondre aux observations de la société, qui lui a été accordé le 21 octobre suivant, ce dont la société a été informée le même jour.

Le 28 octobre 2021, la rapporteure a répondu aux observations de la société.

Le 29 octobre 2021, la société a sollicité auprès du président de la formation restreinte une extension du délai pour produire ses observations à la réponse de la rapporteure, qui lui a été accordée le 4 novembre suivant.

Le 21 novembre 2021, la société a présenté de nouvelles observations en réponse à celles de la rapporteure.

Le 29 novembre 2021, la société a formulé la demande que les données expressément identifiées dans ses écritures comme relevant du secret des affaires ne soient pas divulguées au public lors de la séance de la formation restreinte, à laquelle le président de la formation restreinte a fait droit par un courrier du 30 novembre 2021.

La société et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte du 2 décembre 2021.

Le 6 décembre 2021, la société a adressé au président de la formation restreinte et à la rapporteure des éléments complémentaires rendant compte d’une mise à jour en cours de déploiement sur le site web  » [V].com « .

Motifs de la décision

A.Sur la compétence de la CNIL

Sur la compétence matérielle de la CNIL et la non-application du mécanisme de  » guichet unique  » prévu par le RGPD

Les dispositions de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques – telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après la  » directive  » ePrivacy « ) – qui sont relatives au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, ont été transposées en droit interne à l’article 82 de la loi  » Informatique et Libertés « , au sein du chapitre IV  » Droits et obligations propres aux traitements dans le secteur des communications électroniques  » de cette loi.

Aux termes de l’article 16 de la loi  » Informatique et Libertés « ,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi « . Selon l’article 20, paragraphe III, de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte « .

La rapporteure considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et, le cas échéant, sanctionner les opérations d’accès ou d’inscription d’informations effectuées par la société dans les terminaux des utilisateurs du réseau social [V] résidant en France et, plus particulièrement, le fait que la société méconnaisse la liberté du consentement des internautes en ne mettant pas à leur disposition un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal qui présente le même degré de simplicité que celui prévu pour en accepter l’usage.

La société conteste cette compétence au motif que le manquement qui lui est reproché ne relèverait pas de la directive  » ePrivacy « .

Elle avance que, contrairement aux sociétés [A] et [B] qui ont été sanctionnées par la formation restreinte en décembre 2020 pour un manquement à l’interdiction de déposer des cookies sans avoir préalablement recueilli le consentement des personnes (décisions CNIL, formation restreinte, 7 décembre 2020, SAN-2020-012 et SAN-2020-013), il lui est seulement reproché, au titre de la présente procédure, d’avoir violé la règle selon laquelle il doit être aussi simple pour les utilisateurs de refuser le dépôt de cookies que d’y consentir.

Or, selon la société, cette règle ne résulterait en tant que telle d’aucune disposition légale ou règlementaire applicable et serait une création de la CNIL, formalisée dans les délibérations du 17 septembre 2020 n° 2020-091 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou d’écriture dans le terminal d’un utilisateur (notamment aux  » cookies et autres traceurs « ) et n° 2020-092 portant adoption d’une recommandation proposant des modalités pratiques de mise en conformité en cas de recours aux  » cookies et autres traceurs  » (ci-après les lignes directrices et recommandation du 17 septembre 2020 « ).

La société considère qu’à supposer que cette règle existe réellement, elle ne pourrait matériellement relever que du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le  » Règlement  » ou le  » RGPD « ), comme l’aurait d’ailleurs partiellement reconnu la CNIL dans une communication du 2 avril 2021 mise en ligne sur son site web en indiquant que  » la seule présence d’un bouton  » Paramétrer  » en complément du bouton  » Tout accepter  » tend, en pratique, à dissuader le refus et ne permet donc pas de se mettre en conformité avec les exigences posées par le RGPD « .

La société en tire comme conséquence qu’il conviendrait d’appliquer le mécanisme de  » guichet unique  » prévu au chapitre VII de ce Règlement à la présente procédure. Au titre de ce mécanisme, dès lors que la société [X], qui a la qualité de responsable du traitement en cause, est établie en Irlande et que son administration centrale est située dans ce pays, l’autorité de contrôle compétente pour connaître des faits qui lui sont reprochés ne serait pas la CNIL mais l’autorité de protection des données irlandaise, la Data Protection Commissionner (ci-après  » la DPC « ).

En premier lieu, la formation restreinte rappelle qu’il convient d’opérer une distinction entre, d’une part, les opérations consistant à déposer et à lire des cookies dans le terminal d’un utilisateur et, d’autre part, l’utilisation ultérieure qui est faite des données générées par ces cookies, par exemple à des fins de profilage, désignée sous l’expression  » traitements subséquents  » (dits également  » ultérieurs « ).

Elle souligne que chacune de ces deux étapes successives est soumise à un régime juridique différent : tandis que les opérations de lecture et/ou d’écriture sont régies par des règles spéciales, fixées par l’article 5, paragraphe 3, de la directive  » ePrivacy « , les traitements subséquents relèvent quant à eux du RGPD et, à ce titre, peuvent être soumis au mécanisme de  » guichet unique  » dans l’hypothèse où ils seraient transfrontaliers.

Elle rappelle qu’il ressort des dispositions citées ci-avant que le législateur français a chargé la CNIL de veiller au respect des dispositions de la directive  » ePrivacy  » transposées à l’article 82 de la loi  » Informatique et Libertés « , en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de cet article. Elle souligne que cette compétence a notamment été reconnue par le Conseil d’État dans sa décision Association des agences-conseils en communication du 19 juin 2020 concernant la délibération de la CNIL n° 2019-093 portant adoption de lignes directrices relatives à l’application de l’article 82 de la loi du 6 janvier 1978 modifiée aux opérations de lecture et/ou écriture dans le terminal d’un utilisateur. Le Conseil d’État a en effet relevé que  » l’article 20 de cette loi confie [au] président [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations résultant du règlement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilité de saisir la formation restreinte en vue du prononcé des sanctions susceptibles d’être prononcées  » (CE, 19 juin 2020, req. 434684, pt. 3).

En l’espèce, la formation restreinte relève que la présente procédure ne vise que les opérations de lecture et/ou d’écriture mises en œuvre dans le terminal de l’utilisateur situé en France se rendant sur le réseau social [V], les constatations matérielles effectuées par la délégation lors du contrôle en ligne du 8 avril 2021 n’ayant porté que sur ces opérations, sans s’intéresser aux traitements subséquents mis en œuvre à partir des données collectées via ces cookies.

En deuxième lieu, la formation restreinte rappelle qu’au titre des règles prévoyant l’articulation entre la directive  » ePrivacy  » et le RGPD, l’article 1er paragraphe 2 de cette directive prévoit que  » les dispositions de la présente directive précisent et complètent la directive 95/46/CE  » du Parlement européen et du Conseil du 24 octobre 1995 sur la protection des données personnelles [ci-après  » la directive 95/46/CE « ]), étant rappelé que, depuis l’entrée en application du Règlement, les références faites à la directive 95/46/CE doivent s’entendre comme faites au RGPD, conformément à l’article 94 de ce dernier.

De même, il ressort du considérant 173 du RGPD que ce texte prévoit explicitement n’être pas applicable aux traitements de données à caractère personnel  » soumis à des obligations spécifiques ayant le même objectif [de protection des libertés et droits fondamentaux] énoncées dans la directive 2002/58/CE du Parlement européen et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques « .

La formation restreinte souligne que cette articulation a été confirmée par la Cour de justice de l’Union européenne (ci-après  » la CJUE « ) dans sa décision Planet49 du 1er octobre 2019 (CJUE, grande chambre, 1er octobre 2019, Planet49, C-673/17, pt. 42).

Elle rappelle également que la directive  » ePrivacy  » prévoit, pour les obligations spécifiques qu’elle comporte, son propre mécanisme de mise en œuvre et de contrôle de son application en laissant aux Etats membres, par l’intermédiaire de son article 15 bis, le soin de préciser, dans le cadre de leur loi nationale, le régime des sanctions qu’ils souhaitent mettre en œuvre pour garantir son effectivité.

Elle relève en l’occurrence que la règle posée à l’article 5, paragraphe 3, de la directive  » ePrivacy « , selon laquelle les opérations de lecture et/ou d’écriture doivent systématiquement faire l’objet d’un accord préalable de l’utilisateur, après information, constitue une obligation spécifique puisqu’elle interdit à un acteur de se prévaloir des bases légales mentionnées à l’article 6 du RGPD pour pouvoir licitement procéder à ces opérations de lecture et/ou d’écriture dans le terminal. Il en résulte que la violation de cette règle relève du mécanisme spécial de contrôle et de sanction prévu par la directive  » ePrivacy  » et non de celui prévu par le RGPD.

La formation restreinte note d’ailleurs que le CEPD a, dans son avis n° 5/2019 du 12 mars 2019 relatif aux interactions entre la directive  » vie privée et communications électroniques  » et le RGPD, explicitement exclu l’application du mécanisme de  » guichet unique  » à des faits relevant matériellement de la directive  » ePrivacy  » en ces termes :  » conformément au chapitre VII du RGPD, les mécanismes de coopération et de cohérence dont disposent les autorités de protection des données au titre du RGPD concernent le contrôle de l’application des dispositions du RGPD. Les mécanismes du RGPD ne s’appliquent pas au contrôle de l’application des dispositions de la directive  » vie privée et communications électroniques  » en tant que telle  » (CEPD, avis 5/2019, 12 mars 2019, pt. 80).

Elle relève de surcroît que la CJUE, dans un arrêt […] rendu le 15 juin 2021, a repris l’avis 5/2019 du CEPD précité, tout en suivant sur ce point les conclusions de son avocat général, M. BOBEK, lequel estimait qu’ » afin de décider si une affaire relève effectivement du champ d’application matériel du RGPD, une juridiction nationale, y compris toute juridiction de renvoi, est tenue de rechercher la source précise de l’obligation légale pesant sur un opérateur économique dont il est allégué qu’il l’a enfreinte. Si la source de cette obligation n’est pas le RGPD, les procédures établies par cet instrument, qui sont liées à son objectif principal, ne sont logiquement pas non plus applicables  » (CJUE, conclusions de l’avocat général M. BOBEK, 13 janvier 2021, […], C‑645/19, pts. 37 et 38).

En l’occurrence, la formation restreinte relève que, dans la présente procédure, la source précise de l’obligation légale objet du contrôle trouve sa seule origine dans l’obligation spécifique posée à l’article 5, paragraphe 3, de la directive  » ePrivacy « , transposé en droit français à l’article 82 de la loi  » Informatique et Libertés « .

En troisième lieu, s’agissant de la portée à donner à cette obligation spécifique, la formation restreinte rappelle que les opérations de lecture et/ou d’écriture dans le terminal de l’utilisateur doivent systématiquement faire l’objet du  » consentement préalable  » de l’utilisateur. Elle souligne qu’en vertu de l’article 2, paragraphe f) de la directive  » ePrivacy « , le consentement doit s’entendre au sens de  » consentement de la personne concernée  » figurant dans la directive 95/46/CE. Or, dans la mesure où, comme déjà évoqué, depuis l’entrée en application du Règlement les références faites à la directive 95/46/CE doivent s’entendre comme faites au RGPD, il en résulte que le  » consentement  » prévu à l’article 5, paragraphe 3, de la directive  » ePrivacy  » tel que transposé à l’article 82 de la loi  » Informatique et Libertés  » doit désormais s’entendre au sens du RGPD.

A cet égard, la formation restreinte relève que le consentement au sens du RGPD pose plus d’exigences en la matière que ce que prévoyait l’article 2, h) de la directive 95/46/CE. Notamment, au titre de ces nouvelles exigences, l’article 4, paragraphe 11 du RGPD requiert que le consentement soit désormais univoque, ce qui implique qu’il soit donné par un  » acte positif clair  » et le considérant 42 du RGPD renforce son caractère libre, en précisant que la personne doit désormais disposer d’une  » véritable liberté de choix  » au moment de consentir.

En ce qui concerne les opérations de lecture et/ou d’écriture d’informations, ce renforcement du caractère libre du consentement implique que les modalités qui sont proposées à l’utilisateur pour manifester son choix soient telles qu’elles ne l’incitent pas plus à accepter les cookies qu’à les refuser.

La formation restreinte remarque que c’est dans ce sens qu’il convient de comprendre la communication de la CNIL du 2 avril 2021 publiée sur son site web et dénoncée par la société. En effet, en écrivant que  » la seule présence d’un bouton  » Paramétrer  » en complément du bouton  » Tout accepter  » tend, en pratique, à dissuader le refus et ne permet donc pas de se mettre en conformité avec les exigences posées par le RGPD « , la CNIL a seulement voulu souligner le renforcement des exigences relatives au recueil du consentement de l’utilisateur avant toute opération de lecture et/ou d’écriture d’informations dans son terminal engendré par l’entrée en application du RGPD.

La formation restreinte souligne néanmoins que si le RGPD étaye bien les conditions du consentement, le respect des dispositions spéciales issues de la directive  » ePrivacy  » qui imposent ce consentement, désormais renforcé, de l’utilisateur avant toute opération de lecture et/ou d’écriture dans son terminal continue de relever, en vertu de l’adage specialia generalibus derogant, de la règle spéciale posée par l’article 5, paragraphe 3, de la directive  » ePrivacy  » et, partant, du mécanisme spécial de contrôle et de sanction prévu à l’article 15 bis de cette même directive.

Ainsi, le simple renvoi au RGPD qu’opèrent les dispositions de la directive  » ePrivacy  » sur la définition du consentement ne suffit pas à attraire avec lui l’applicabilité du mécanisme de  » guichet unique  » aux faits de l’espèce.

En quatrième lieu, la formation restreinte observe qu’il serait en tout état de cause matériellement impossible en l’état actuel du droit d’appliquer le mécanisme de  » guichet unique  » à des faits relevant de la directive  » ePrivacy  » et que cette position fait par ailleurs l’objet d’un consensus au niveau européen.

En effet, les États membres, qui sont libres de déterminer l’autorité nationale compétente pour connaître des violations des dispositions nationales prises en application de la directive  » ePrivacy « , peuvent avoir attribué cette compétence à une autorité autre que leur autorité nationale de protection des données instituée par le RGPD, en l’occurrence à leur autorité de régulation des télécommunications. Dès lors, dans la mesure où ces dernières autorités ne font pas partie du CEPD, alors que ce comité joue une fonction incontournable dans le mécanisme de contrôle de la cohérence mis en œuvre au chapitre VII du RGPD, il est de fait impossible d’appliquer le  » guichet unique  » à des pratiques susceptibles d’être sanctionnées par des autorités de contrôle nationales ne siégeant pas au sein de ce comité.

La formation restreinte souligne également que d’autres autorités nationales de protection des données ont également déjà prononcé des sanctions portant sur des manquements relatifs aux opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs. L’autorité espagnole a ainsi rendu plusieurs décisions de sanction à l’encontre de différents responsables de traitement en application exclusive des dispositions nationales transposant la directive  » ePrivacy « , en l’occurrence l’article 22, paragraphe 2 de la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información y de Comercio Electrónico, sans que soit mise en œuvre la procédure de coopération instituée par le RGPD.

Enfin, la formation restreinte note que la question d’une éventuelle future application du mécanisme de  » guichet unique  » aux traitements aujourd’hui encadrés par l’actuelle directive  » ePrivacy  » fait l’objet de nombreuses discussions dans le cadre de l’élaboration du projet de règlement  » ePrivacy  » en cours de négociation depuis plus de quatre ans au niveau européen. L’existence même de ces débats confirme qu’en l’état le mécanisme de  » guichet unique  » prévu par le RGPD n’est pas applicable aux matières régies par l’actuelle directive  » ePrivacy « .

Il résulte de ce qui précède que le mécanisme de  » guichet unique  » prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et engager une procédure de sanction contre le traitement mis en œuvre par la société consistant en des opérations de lecture et/ou d’écriture d’informations effectuées à partir du site web  » [V].com  » dans le terminal des utilisateurs résidant en France relevant du champ d’application de la directive  » ePrivacy « , sous réserve que ce traitement se rattache à sa compétence territoriale.

Sur la compétence territoriale de la CNIL

La règle d’application territoriale des exigences fixées à l’article 82 de la loi  » Informatique et Libertés  » est précisée à l’article 3, paragraphe I, de cette loi, lequel dispose :  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement (…) sur le territoire français, que le traitement ait lieu ou non en France « .

La rapporteure considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès et/ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du réseau social [V], notamment à des fins publicitaires, est effectué dans le  » cadre des activités  » de la société [Z], qui constitue  » l’établissement  » sur le territoire français du groupe [W].

La société soutient que dans la mesure où il conviendrait de faire application des règles de compétence et des procédures de coopération définies par le RGPD, la CNIL ne disposerait pas de la compétence territoriale pour connaître de cette affaire étant donné que le  » siège réel  » du groupe [W] en Europe, soit le lieu de son administration centrale au sens de l’article 56 du RGPD, est situé en Irlande.

La formation restreinte relève que pour déterminer si la CNIL dispose d’une compétence pour contrôler le respect, par la société [X], des exigences prévues à l’article 82 de la loi  » Informatique et Libertés  » dans le cadre du traitement en cause, il convient d’examiner en l’occurrence si les deux critères d’application territoriale de la loi  » informatiques et libertés « , prévus au paragraphe I de son article 3, sont réunis : à savoir, d’une part, si [V] dispose d’un  » établissement sur le territoire français  » et si, d’autre part, le traitement en cause est effectué  » dans le cadre des activités de cet établissement « .

[… passage central omis : décision trop longue pour une cellule …]

En second lieu, en ce qui concerne l’information fournie, la formation restreinte rappelle qu’au titre de l’article 82 de la loi  » Informatique et Libertés « , l’utilisateur doit notamment être informé, avant de consentir aux cookies,  » des moyens dont il dispose pour s’y opposer « , c’est-à-dire pour les refuser, et que l’information fournie doit être  » claire et complète « . Elle souligne que ces dispositions doivent se lire à la lumière du considérant 66 de la directive modificative 2009/136/CE  » ePrivacy  » qui prévoit que  » les méthodes retenues pour fournir des informations et offrir le droit de refus devraient être les plus conviviales possibles « .

Elle souligne que, dans le cadre de sa recommandation du 17 septembre 2020, la Commission a pris soin de préciser que cette exigence d’une information  » claire et complète  » devait s’interpréter de telle façon que  » l’information accompagnant chaque élément actionnable permettant d’exprimer un consentement ou un refus soit facilement compréhensible et ne nécessite pas d’efforts de concentration ou d’interprétation de la part de l’utilisateur. Ainsi, il est notamment recommandé de s’assurer qu’elle n’est pas rédigée de telle manière qu’une lecture rapide ou peu attentive pourrait laisser croire que l’option sélectionnée produit l’inverse de ce que les utilisateurs pensaient choisir « .

En l’espèce, elle rappelle qu’il ressort du contrôle en ligne du 8 avril 2021 qu’une fois arrivé sur le site web  » [V].com « , l’utilisateur doit, pour refuser le dépôt de cookies publicitaires, d’abord cliquer sur le bouton  » Gérer les paramètres de données  » de la première fenêtre, faire défiler l’intégralité de la seconde fenêtre surgissante en laissant les deux boutons glissants désactivés pour ne pas accepter les cookies, puis cliquer sur le bouton  » Accepter les cookies  » figurant au bas de cette seconde fenêtre.

Si, comme la société le fait valoir en défense, la formation restreinte reconnaît qu’un utilisateur distrait qui cliquerait sur le bouton  » Accepter les cookies  » figurant au bas de la seconde fenêtre ne verrait aucun cookie publicitaire déposé dans son terminal dès lors que les boutons glissants permettant d’activer le dépôt de ces cookies sont désactivés par défaut, elle relève qu’il est particulièrement contre-intuitif de devoir cliquer sur un bouton intitulé  » Accepter les cookies  » pour en réalité refuser leur dépôt.

La formation restreinte considère que ces modalités incitent plutôt l’utilisateur à penser qu’il n’est finalement pas possible de poursuivre sa navigation en ayant refusé le dépôt de cookies publicitaires puisque tout le parcours de refus des cookies repose sur une information renvoyant à l’acceptation des cookies.

Elle relève que ce sentiment ne peut être qu’accentué par le caractère peu explicite du bouton  » Gérer les paramètres de données  » proposé dans le cadre de la première fenêtre, qui ne mentionne pas clairement l’existence de moyens permettant de refuser les cookies.

Elle estime que le fait qu’in fine les cookies ne soient pas déposés est sans incidence sur la confusion générée par ce parcours informationnel contradictoire qui peut donner à l’utilisateur le sentiment qu’il n’est pas possible de refuser le dépôt de cookies et qu’il ne dispose pas de modalités de