La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET, Madame Christine MAUGÜÉ, Monsieur Alain DRU et Monsieur Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2020-047C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement de données à caractère personnel portant, en tout ou partie, sur des données relatives à la commercialisation ou à l’utilisation des produits ou services rattachés à la marque  » […] « ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 3 février 2022 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux sociétés […] le 7 juillet 2022 ;

Vu les observations écrites versées par les sociétés […] le 22 août 2022 ;

Vu la réponse de la rapporteure à ces observations notifiée le 22 septembre 2022 au conseil des sociétés ;

Vu les observations écrites des sociétés […] reçues le 24 octobre 2022 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 1er décembre 2022 :

– Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants des sociétés […]

Les sociétés […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. Le groupe […] , qui a des bureaux en Europe, au Moyen-Orient, en Amérique du Nord, en Asie et en Afrique, appartient au groupe de sociétés […] , lequel exploite une gamme de plateformes de distribution de contenus. […] , société mère du groupe […] , est immatriculée aux Iles Caïmans.

2. […] a lancé l’application […] en mai 2017. En novembre 2017, […] a fait l’acquisition de  » musical.ly , plateforme de distribution de contenu permettant aux utilisateurs de créer, de voir et de partager du contenu. La société américaine […] . proposait l’application […] « aux utilisateurs situés aux États-Unis et dans l’Union européenne. À la suite de cette acquisition, l’application  » […] « a été rebaptisée […] en août 2018 et la dénomination sociale de […] . a été modifiée et est devenue […] . en mai 2019.

3. La société […] . a continué à proposer l’application à des personnes situées au sein de l’Union européenne à la suite de l’acquisition de l’application par […] E et à son changement de nom pour […] . La société […] . était responsable des traitements concernant les données à caractère personnel des utilisateurs situés dans l’Union européenne jusqu’à juillet 2020. Dans le cadre de la procédure de contrôle, les sociétés […] (ci-après  » […] ) et […] (ci-après  » […] ) ont indiqué que, depuis le 29 juillet 2020, la responsabilité des traitements des données à caractère personnel des utilisateurs européens leur incombe conjointement.

4. La société […] , dont le siège social est situé à […] comptait […] salariés en juin 2020.

5. Filiale de […] , la société […] a, quant à elle, son siège social situé à […] . Constituée à la fin de l’année 2018, elle employait […] personnes en juin 2020.

6. En 2021, la société […] , maison mère de […] , a réalisé un chiffre d’affaires d’environ […] dollars. Le chiffre d’affaires total de la société […] et de ses filiales s’est élevé à près de […] de dollars en 2019 et à plus de […] en 2020.

7. Par ailleurs, deux établissements de […] sont présents en France, la société […] et la société […] , lesquelles ont leur siège social respectivement à […] et à […] .

8. Au cours du premier trimestre 2020, l’application […] comptait environ […] millions d’utilisateurs actifs par mois au sein de l’Union européenne et du Royaume-Uni. Environ […] millions de ces utilisateurs actifs chaque mois étaient situés en France, dont […] millions d’utilisateurs inscrits, c’est-à-dire possédant un compte. D’après les informations publiquement disponibles, […] .

9. En application de la décision n° 2020-047C de la présidente de la Commission nationale de l’informatique et des libertés (ci-après  » la Commission « ou  » la CNIL ) du 27 décembre 2019, la CNIL a effectué une mission de contrôle en ligne sur le site web  » […] « le 14 mai 2020.

10. Le 3 juin 2020, une mission de contrôle sur pièces a également été réalisée par l’envoi d’un questionnaire à la société […] ., alors responsable de traitement, dont une copie a été adressée à la société […] . La société était ainsi invitée à répondre à plusieurs questions portant notamment sur l’organisation du groupe, sa responsabilité dans le cadre des traitements mis en œuvre sur le site  » […] , les finalités des opérations de lecture et/ou d’écriture effectuées à partir de ce site dans le terminal des utilisateurs résidant en France.

11. Le 29 juin 2020, la société […] a transmis des éléments de réponse à la CNIL. Par courriels des 26 août et 30 septembre 2020, la délégation de la CNIL a sollicité des précisions complémentaires auprès de la société, lesquelles ont été apportées par la société […] par courriers des 24 septembre et 9 octobre 2020.

12. Le 3 juin 2021, un deuxième contrôle en ligne a été effectué par une délégation de la CNIL. Lors de ce contrôle, la délégation a suivi trois parcours afin d’identifier si des cookies sont déposés sur l’équipement de l’utilisateur lors de la navigation :

– parcours 1 –  » refus du dépôt des cookies « : lorsque l’utilisateur se rend sur le site web  » […] « et poursuit sa navigation après avoir cliqué sur l’onglet  » Gérer les paramètres « situé dans le bandeau d’information relatif aux cookies, puis sur le bouton  » Ouvrir les paramètres de cookies , puis sur le bouton  » Enregistrer ;

– parcours 2 –  » aucun choix exprimé « : lorsque l’utilisateur se rend sur le site web  » […] « puis ne clique sur aucun des boutons qui s’affichent dans le bandeau d’information, puis poursuit sa navigation dans le réseau social ;

– parcours 3 –  » acceptation des cookies, puis retrait du consentement « : lorsque l’utilisateur se rend sur le site web  » […] « et, après avoir cliqué sur l’onglet  » Tout accepter « situé dans le bandeau d’information relatif aux cookies, poursuit sa navigation dans le réseau social ; puis lorsqu’il se rend sur le lien intitulé  » Cookies « dans le pied de page, qu’il clique sur le bouton  » Ouvrir les paramètres de cookies , qu’il décoche le slider  » Données analytiques et marketing , puis clique sur le bouton  » Enregistrer « et poursuit sa navigation.

13. La délégation de contrôle a demandé à la société […] , dans le cadre du procès-verbal de constatations en ligne dressé à l’issue du contrôle, des précisions complémentaires sur la finalité de chacun des cookies mentionnés dans ledit procès-verbal et sur la finalité des requêtes adressées à certains domaines mentionnés dans les pièces.

14. Par courrier du 22 juin 2021, la société […] a apporté les précisions sollicitées par la délégation de contrôle.

15. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 3 février 2022, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019.

16. Par courrier du 30 mai 2022, la rapporteure a sollicité des informations complémentaires auprès du conseil des sociétés […] et […] , portant notamment sur les fonctions actuelles des sociétés […] et […] , sur les liens juridiques existant entre les sociétés […] , […] , […] et […] et sur la date à laquelle le bouton  » tout refuser « a été ajouté sur le bandeau relatif aux cookies sur le site  » […] . Ces éléments complémentaires ont été transmis à la rapporteure par courrier du 14 juin 2022.

17. Puis, sur demande de la rapporteure, la présidente de la Commission a fait procéder à une nouvelle mission de vérification des traitements mis en œuvre sur le site web  » […] « le 30 juin 2022.

18. Le 7 juillet 2022, la rapporteure a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés ) qu’elle estimait constitué en l’espèce. La rapporteure proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre des sociétés […] et […] , ainsi qu’une injonction, assortie d’une astreinte, de cesser de déposer des cookies et traceurs soumis au recueil du consentement des personnes résidant en France lors de l’arrivée sur le site  » […] , avant même qu’elles aient eu la possibilité d’effectuer un choix quant aux opérations d’accès ou d’inscription d’informations dans leur terminal, après leur refus des opérations de lecture et écriture ou après retrait de leur consentement, et d’informer les personnes concernées s’agissant des finalités des différents cookies pour lesquels l’utilisateur peut faire un choix en cliquant sur un bouton slider, afin de lui permettre de donner un consentement libre et éclairé. Elle proposait également que la décision de sanction soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

19. Le 22 août 2022, les sociétés ont produit leurs observations en réponse au rapport de sanction.

20. La rapporteure a répondu aux observations des sociétés le 22 septembre 2022.

21. Le 24 octobre 2022, les sociétés ont produit de nouvelles observations en réponse à celles de la rapporteure.

22. Par courrier du 9 novembre 2022, la rapporteure a informé le conseil des sociétés que l’instruction était close, en application de l’article 40, III, du décret modifié n°2019-536 du 29 mai 2019.

23. Par courrier du 10 novembre 2022, les sociétés ont été informées que le dossier était inscrit à l’ordre du jour de la formation restreinte du 1er décembre 2022.

24. La rapporteure et les sociétés ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur les traitements en cause et la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de  » guichet unique « prévu par le RGPD

25. Les traitements objets de la présente procédure sont relatifs au dépôt de cookies et traceurs sur le terminal des utilisateurs résidant en France lors de la navigation sur le site  » […] « et sur les sous-domaines […] . Le domaine principal – […] « – est le site principal par lequel les utilisateurs peuvent regarder des vidéos sur la plateforme […] . Quant aux sous-domaines, ils sont dédiés à d’autres activités spécifiques : sous-domaine dédié aux actualités de […] ( » […] ), sous-domaine permettant de collaborer avec des créateurs en fonction de son industrie, de son budget et de ses buts commerciaux ( » […] ) ou encore sous-domaine permettant aux développeurs de créer des outils pour les créateurs et communautés ( » […] ) par exemple.

26. Les traitements objets de la procédure sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, ils entrent dans le champ d’application matériel de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après la directive  » ePrivacy ).

27. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications électroniques.

28. Aux termes de l’article 16 de la loi Informatique et Libertés,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi . Selon l’article 20, paragraphe III, de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte .

29. La rapporteure considère que la CNIL est matériellement compétente pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par les sociétés dans les terminaux des utilisateurs du réseau social […] en France.

30. En défense, les sociétés n’ont pas fait d’observations sur la compétence de la CNIL dans leurs écritures, précisant qu’elles se  » réserve[nt] le droit de se prononcer ultérieurement .

31. La formation restreinte rappelle que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après  » le RGPD « ou  » le Règlement ) n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique « applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […] « (CE, 10ème et 9ème chambres réunies, 28 janvier 2022, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, pt. 12). Le Conseil d’État a réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423).

32. Dès lors, la formation restreinte considère que la CNIL est compétente pour contrôler et engager une procédure de sanction concernant les traitements mis en œuvre par les sociétés relevant du champ d’application de la directive  » ePrivacy , sous réserve que le traitement se rattache à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

33. La règle d’application territoriale des exigences fixées à l’article 82 de la loi Informatique et Libertés est fixée à l’article 3, paragraphe I, de la même loi qui dispose :  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements des données à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France .

34. La rapporteure considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que le traitement objet de la présente procédure, consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de la navigation sur le site web  » […] , est effectué dans le  » cadre des activités « de la société […] , qui constitue  » l’établissement « sur le territoire français des sociétés […] et […] .

35. En défense, les sociétés n’ont là encore pas fait d’observations sur ce point, précisant qu’elles se  » réserve[nt] le droit de se prononcer ultérieurement .

36. En premier lieu, s’agissant de l’existence d’un établissement du responsable de traitement sur le territoire français, la formation restreinte rappelle que la Cour de justice de l’Union européenne (ci-après la  » CJUE ) a considéré de façon constante que la notion d’établissement devait être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un autre État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question (voir, par exemple, CJUE, Weltimmo, 1er oct. 2015, C 230/14, pts. 30 et 31). La CJUE estime en outre qu’une société, personne morale autonome, du même groupe que le responsable de traitement, peut constituer un établissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).

37. En l’occurrence, la formation restreinte relève, tout d’abord, que les sociétés ont indiqué dans le cadre de la procédure que la société […] avait repris les fonctions de la société […] . La société […] , immatriculée en France depuis le 17 mars 2020, dispose de locaux situés au […] Aux termes de ses statuts déposés auprès du tribunal de commerce de Paris, elle a notamment  » pour objet, […] .

38. En outre, la formation restreinte note, s’agissant des liens entre ces deux établissements et les sociétés […] et […] , que les sociétés […] et […] font toutes deux parties du groupe […] prenant part au traitement des données à caractère personnel des utilisateurs français et sont toutes deux détenues à 100% par la société […] . Elles sont liées entre elles par des accords contractuels.

39. En second lieu, s’agissant de l’existence d’un traitement effectué  » dans le cadre des activités « de cet établissement, la formation restreinte relève que, dans sa décision AMAZON EUROPE CORE du 27 juin 2022, le Conseil d’État a rappelé qu’ » il résulte de la jurisprudence de la Cour de justice de l’Union européenne, notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein contre Wirtschaftsakademie Schleswig-Holstein GmbH (C-210/16), qu’au vu de l’objectif poursuivi par cette directive [la directive  » e-Privacy ], consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué  » dans le cadre des activités « d’un établissement national non seulement si cet établissement intervient lui-même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d’un État membre, la promotion et la vente d’espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d’un site « (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, pt. 10). Le Conseil d’État a considéré dans cette même décision que tel était le cas lorsque les activités de l’établissement du responsable de traitement consistent en la promotion et la commercialisation d’outils publicitaires contrôlés et exploités par le responsable de traitement fonctionnant notamment grâce aux données collectées par le biais des traceurs de connexion déposés sur les terminaux des utilisateurs du site exploité par le responsable de traitement (pt. 15 de la décision précitée).

40. En l’espèce, la formation restreinte note que les opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs situés en France lors de l’utilisation du réseau social […] – domaine principal et sous-domaines – sont intrinsèquement liées aux activités de la société […] (et de la société […] avant que […] ne reprenne ses fonctions). En effet, les sociétés […] et […] exploitent le site web  » […] « sur lequel des espaces publicitaires sont achetés par des annonceurs. La vente de ces espaces publicitaires et plus largement la promotion d’outils publicitaires sont assurés, pour le marché français, par la société […] (et auparavant par la société […] ), laquelle collabore avec des annonceurs pour cibler  » les publics locaux « et ainsi proposer les publicités les plus pertinentes. Or, l’affichage de publicités personnalisées à un internaute précis n’est possible que si la navigation de ce dernier au sein de l’application a pu être tracée grâce à un cookie, afin de déterminer quel contenu serait le plus pertinent à afficher.

41. Ainsi, le traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France, lors de l’utilisation du réseau social […] , est effectué dans le cadre des activités de la société […] (et auparavant de […] ). La formation restreinte relève que les deux critères prévus à l’article 3, paragraphe I, de la loi Informatique et Libertés sont donc réunis.

42. Il en résulte que le droit français est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ d’application de la directive  » ePrivacy .

B. Sur la détermination du responsable de traitement

43. La formation restreinte relève, tout d’abord, que les articles 4, paragraphe 7, et 26, paragraphe 1, du RGPD sont applicables à la présente procédure en raison du recours à la notion de  » responsable de traitement « dans l’article 82 de la loi Informatique et Libertés, lequel est justifié par le renvoi opéré par l’article 2 de la directive  » ePrivacy « à la directive 95/46/CE sur la protection des données personnelles à laquelle s’est substitué le RGPD.

44. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est  » la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement . Aux termes de l’article 26, paragraphe 1, du RGPD,  » lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement .

45. La rapporteure considère que les sociétés […] et […] agissent en qualité de responsables conjoints du traitement en cause, en ce qu’elles participent conjointement à la détermination des finalités et des moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du réseau social […] , en particulier sur le site  » […] « et les sous-domaines […] .

46. Les sociétés n’ont pas fait valoir d’observations sur ce point dans le cadre de leurs écritures.

47. La formation restreinte rappelle que la CJUE s’est prononcée, à plusieurs reprises, sur la notion de responsabilité conjointe du traitement, notamment dans son arrêt Témoins de Jéhovah. Dans cet arrêt, elle a considéré que, selon les dispositions de l’article 2, sous d), de la directive 95/46 sur la protection des données personnelles,  » la notion de  » responsable du traitement « vise la personne physique ou morale qui,  » seule ou conjointement avec d’autres , détermine les finalités et les moyens du traitement de données à caractère personnel. Cette notion ne renvoie, dès lors, pas nécessairement à une personne physique ou morale unique et peut concerner plusieurs acteurs participant à ce traitement, chacun d’entre eux devant alors être soumis aux dispositions applicables en matière de protection des données […]. L’objectif de cette disposition étant d’assurer, par une définition large de la notion de  » responsable , une protection efficace et complète des personnes concernées, l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente, pour un même traitement de données à caractère personnel, des différents acteurs. Au contraire, ces acteurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce « (CJUE, 10 juillet 2018, C 25/17, pts. 65 et 66).

48. La formation restreinte considère que ces développements permettent d’éclairer utilement la notion de responsabilité de traitement conjointe invoquée par la rapporteure à l’égard des sociétés […] et […] concernées par les traitements en cause.

49. La formation restreinte souligne que la société […] a précisé, dans un courrier du 29 juin 2020 adressé à la CNIL lors de la procédure de contrôle, être  » en train de passer à un modèle de responsables conjoints du traitement, dans lequel […] et […] deviendront les responsables conjoints du traitement des données à caractère personnel des utilisateurs situés dans l’UE . Puis, dans un courrier du 24 septembre 2020, la société […] faisait état du rôle de […] et […] en tant que responsables conjoints du traitement des données des utilisateurs dans l’Espace économique européen.

50. La formation restreinte relève que lors du contrôle en ligne du 3 juin 2021, la politique de confidentialité présente sur le site  » […] « indiquait au paragraphe 11 :  » À notre propos et comment nous contacter « :  » […] et […] fournissent la Plateforme et les services connexes et traitent conjointement les données personnelles de la manière décrite aux termes de la présente politique et de nos Conditions de services .

51. Enfin, dans un courrier du 15 juin 2022, le conseil des sociétés […] a confirmé que la restructuration annoncée du groupe […] , auquel appartiennent les sociétés […] et […] , est sans incidence sur leur qualité de responsables conjoints du traitement en ce qui concerne le site […] , mis à la disposition des utilisateurs de […] en France. Il a précisé que les deux sociétés  » déterminent conjointement les finalités et les moyens des activités de traitement consistant en l’accès et l’enregistrement d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des services […] .

52. Il résulte de l’ensemble de ce qui précède que les sociétés […] et […] déterminent conjointement les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du réseau social […] et agissent donc en qualité de responsables conjoints des traitements en cause.

C. Sur le manquement aux obligations en matière de cookies

53. Aux termes de l’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive  » ePrivacy ,  » tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur :

1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;

2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur .

[… passage central omis : décision trop longue pour une cellule …]

80. La rapporteure a relevé que, sur le bandeau figurant lors du contrôle en ligne effectué le 3 juin 2021, parmi les finalités poursuivies par les cookies figurent  » des fins d’analyse et de marketing , sans plus de précisions. Selon elle, ces finalités n’étaient pas assez déterminées et précises pour considérer que l’information est conforme aux obligations découlant de l’article 82 la loi Informatique et Libertés. Le contrôle diligenté le 30 juin 2022 a mis en lumière que les sociétés ont ajouté un bouton  » Tout refuser « sur leur bandeau cookies au premier niveau et ont complété l’information relative aux finalités. Néanmoins, la rapporteure a relevé que le bandeau modifié contenait une erreur matérielle ( » Tu peux gestion des cookies à tout moment ). Par ailleurs, la rapporteure a noté que, dans le cadre de ce second contrôle, lorsque l’utilisateur cliquait sur  » gestion des cookies « sur le bandeau qui lui était présenté à son arrivée sur le site  » […] , une nouvelle fenêtre apparaissait avec une liste de  » cookies d’analyse et de marketing . Une telle fenêtre avec une liste de cookies de  » données analytiques et marketing « était également présente au moment du contrôle en ligne effectué le 3 juin 2021. La rapporteure a considéré que, si les sociétés offrent à l’utilisateur la possibilité d’exprimer leur consentement pour chaque cookie, il n’est toutefois pas indiqué quelle est la finalité poursuivie par chaque cookie (analyse ou marketing ou bien les deux à la fois), plaçant ainsi l’utilisateur dans l’impossibilité de savoir exactement ce à quoi il consent. La rapporteure en a conclu que l’information fournie par les sociétés n’est donc pas suffisante et ne permettait pas à l’utilisateur de pouvoir donner un consentement libre et éclairé.

81. En défense, les sociétés expliquent avoir corrigé l’erreur de grammaire dans la version française du bandeau dès le 15 juillet 2022. Elles soulignent que  » le bandeau relatif aux cookies était compréhensible pour l’utilisateur moyen « et que la rapidité de la mise à jour souligne leur volonté de coopérer avec la CNIL et de constamment améliorer leurs pratiques sur la base des remarques des régulateurs. Elles ajoutent que les lignes directrices de la CNIL demandent, dans leur paragraphe 24, seulement de fournir aux utilisateurs, au premier niveau d’information,  » la finalité des opérations de lecture ou écriture des données , sans préciser le niveau de détail de cette information, et que la CNIL, dans sa délibération n° 2020-092 du 17 septembre 2020 portant adoption d’une recommandation sur les cookies précitée, prévoit qu’une description plus détaillée des finalités peut être accessible via un lien hypertexte fourni dans le premier niveau d’information. Or, tel était bien le cas en l’espèce selon elles puisque les finalités figurant dans le bandeau relatif aux cookies étaient précisées au sein des paramètres des cookies et de la politique sur les cookies, tous deux accessibles par un lieu hypertexte qui fournissaient des informations détaillées supplémentaires aux utilisateurs. Elles ajoutent que, sans reco