Délibération de la formation restreinte no SAN-2021-013 concernant la SOCIETE […]

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE et de Messieurs Alain DRU et Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2009/136/CE du Parlement européen et du Conseil, du 25 novembre 2009 ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la saisine n° 18016566 ;

Vu la décision no 2020-008C du 27 décembre 2019 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification de tout traitement accessible à partir du domaine « […].fr  » ou portant sur des données à caractère personnel collectées à partir de ce dernier ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 21 décembre 2020 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié à la SOCIETE […] le 1er avril 2021 ;

Vu les observations écrites versées par la SOCIETE […] le 17 mai 2021 ;

Vu la réponse de la rapporteure à ces observations notifiée à la SOCIETE […] le 7 juin 2021 ;

Vu les observations écrites versées par la SOCIETE […] le 25 juin 2021 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 8 juillet 2021 :

– Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants de la SOCIETE […] :

– […] ;

– […] ;

– […] ;

– […] ;

– […].

La SOCIETE […] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La SOCIETE […] (ci-après « la société « ), dont le siège social est situé 14 boulevard Haussmann à Paris (75009), est une filiale du groupe […], qui a pour principale activité l’édition de journaux, en versions papier et numérique. Créée en 1856, elle compte 670 salariés.

2. Pour les besoins de son activité, la société édite notamment le site web d’actualités www.[…].fr (ci-après « le site […].fr « ) sur lequel des espaces publicitaires sont commercialisés auprès d’annonceurs.

3. Le site dispose d’une offre gratuite, permettant de rendre certains contenus accessibles à tout internaute. Il dispose également d’une offre payante, pour laquelle la société indique qu’elle permet à l’internaute d’accéder à l’ensemble des contenus publiés sur le site, de se connecter à son espace personnel et de bénéficier d’un « affichage publicitaire limité « .

4. Pour l’année 2019, la SOCIETE […] a réalisé un chiffre d’affaires de […] euros pour un résultat […] euros. Le nombre de visiteurs par mois, pour les douze derniers mois, du site […].fr en France métropolitaine, était de l’ordre de […]. Le nombre d’abonnés numériques au 1er décembre 2020 était de […]. […].

5. Le 16 août 2018, la Commission nationale de l’informatique et des libertés (ci-après « la CNIL  » ou « la Commission « ) a été saisie d’une plainte n° 18016566 d’une utilisatrice du site […].fr. La plaignante faisait notamment état du dépôt de cookies sur son terminal avant toute action de sa part sur le site […].fr et sans recueil de son consentement.

6. Pour les besoins de l’instruction de la plainte et afin de vérifier les éléments de réponse apportés par la société au cours de la procédure, cinq opérations de contrôle en ligne du site […].fr ont été effectuées en application de la décision n° 2020-008C du 27 décembre 2019 de la présidente de la CNIL. Ces missions ont été réalisées respectivement les 14 janvier 2020, 9 septembre 2020, 25 novembre 2020, 18 février 2021 et 1er juin 2021.

7. Ces missions ont notamment eu pour objet de vérifier la conformité aux dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après « la loi Informatique et Libertés « ) de tout traitement accessible à partir du domaine […].fr ou portant sur des données à caractère personnel collectées à partir de ce dernier. Il s’agissait plus précisément de procéder à des investigations en lien avec les opérations de lecture ou d’écriture d’informations dans le terminal des internautes à partir du site […].fr.

8. Au cours des deux premiers contrôles, la délégation de la CNIL s’est principalement attachée à vérifier à quel moment des cookies étaient déposés sur le terminal de l’utilisateur à partir du site […].fr, quelle était la finalité de chacun des cookies déposés, quelles informations étaient délivrées aux utilisateurs en lien avec ces cookies et, enfin, quel dispositif était mis en œuvre pour permettre à l’utilisateur de refuser leur dépôt lorsque celui-ci se rend sur la page d’accueil de ce site.

9. A l’issue de ces contrôles, les procès-verbaux n° 2020-008/1 et n° 2020-008/2 ont été notifiés à la SOCIETE […] par courriers datés respectivement du 17 janvier et du 10 septembre 2020. La société a transmis aux services de la Commission, par courriels des 5 février et 5 octobre 2020, les pièces complémentaires sollicitées à l’issue de ces missions de contrôle.

10. Au regard des réponses apportées le 5 octobre 2020 par la société, indiquant notamment, en lien avec les modalités de suppression des cookies, qu’un « rechargement de page (ou la navigation vers une autre page) est nécessaire, afin que les déposants puissent supprimer les cookies « , un nouveau contrôle a été diligenté le 25 novembre 2020 afin d’effectuer les mêmes constatations en vérifiant les conséquences d’un rechargement de la page ou d’une navigation vers une autre page du site après avoir retiré son consentement au dépôt des cookies.

11. A l’issue de ce contrôle, le procès-verbal n° 2020-008/3 a été notifié à la SOCIETE […] par courrier du 25 novembre 2020. La société a transmis aux services de la Commission, par courriel du 18 décembre 2020, les pièces sollicitées à l’issue de cette mission de contrôle.

12. Aux fins d’instruction de l’ensemble de ces éléments, la présidente de la Commission a, le 21 décembre 2020, désigné Madame Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

13. Par courriel du 13 janvier 2021, la SOCIETE […] a adressé une demande d’audition à la rapporteure, qui y a répondu en indiquant qu’elle n’apparaissait pas nécessaire à ce stade.

14. De nouvelles investigations ont été diligentées le 18 février 2021, pour compléter les constatations précédemment effectuées le 25 novembre 2020, afin de vérifier les conséquences d’une navigation vers une autre page du site lorsque l’utilisateur a refusé de consentir au dépôt des cookies dès son arrivée sur le site […].fr (les constations précédentes concernant l’hypothèse d’un retrait ultérieur de consentement).

15. A l’issue de ce contrôle, le procès-verbal n° 2020-008/4 a été notifié à la SOCIETE […] par courrier du 25 février 2021. La société a transmis aux services de la Commission, par courriel du 12 mars 2021, les pièces sollicitées lors de cette mission de contrôle.

16. A l’issue de son instruction, la rapporteure a, le 1er avril 2021, fait notifier à la SOCIETE […] un rapport détaillant le manquement à l’article 82 de la loi « Informatique et Libertés  » qu’elle estimait constitué en l’espèce et indiquant à la société qu’elle disposait d’un délai d’un mois pour communiquer ses observations écrites en application des dispositions de l’article 40 du décret n° 2019-536 du 29 mai 2019. Le courrier de notification du rapport comportait également une convocation à la séance de la formation restreinte du 3 juin 2021.

17. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l’encontre de la SOCIETE […] une amende administrative au regard du manquement constitué à l’article 82 de la loi « Informatique et Libertés « . Il proposait également que cette décision soit rendue publique, mais qu’il ne soit plus possible d’identifier nommément la société à l’expiration d’un délai de deux ans à compter de sa publication.

18. Par courriel du 23 avril 2021, la SOCIETE […] a sollicité une extension du délai d’un mois prévu par l’article 40 du décret n° 2019-536 du 29 mai 2019 pour produire ses observations. Cette demande a été acceptée par le président de la formation restreinte par courriel du 27 avril 2021.

19. Le 17 mai 2021, la société a produit ses observations en réponse au rapport de sanction.

20. Au regard des observations soulevées par la société dans cette réponse, selon lesquelles la délégation de contrôle n’avait effectué ses vérifications qu’à partir d’un navigateur Firefox et, qu’en conséquence, aucun manquement ne pourrait être retenu s’agissant d’un internaute se rendant sur le site […].fr au moyen du navigateur Chrome, de nouvelles investigations ont été diligentées le 1er juin 2021.

21. Le 31 mai 2021, la rapporteure a sollicité un délai pour répondre aux observations formulées par la SOCIETE […]. Par courriel du 1er juin 2021, le président de la formation restreinte a avisé la rapporteure qu’elle bénéficiait d’un délai supplémentaire de six jours pour produire ses observations. Par courrier du 1er juin 2021, la société a été avisée qu’elle bénéficiait également d’un délai supplémentaire de six jours et que, dès lors, la séance de la formation restreinte initialement prévue le 3 juin 2021 était reportée.

22. Par courrier daté du 7 juin 2021, la réponse de la rapporteure aux observations de la société lui a été adressée, accompagnée d’une nouvelle convocation à la séance de la formation restreinte du 8 juillet 2021.

23. Le 25 juin 2021, la SOCIETE […] a produit de nouvelles observations en réponse à celles de la rapporteure.

24. La SOCIETE […] et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte du 8 juillet 2021.

II. Motifs de la décision

A. Sur le respect des droits de la défense

25. La société soutient que la procédure suivie par la CNIL ne respecte pas les droits de la défense et le principe du contradictoire, tel que garanti par l’article 6 de la Convention européenne des droits de l’homme et l’article 16 de la Déclaration des droits de l’homme et du citoyen.

1. […]

26. […].

27. […].

28. […].

29. […].

2. Sur l’absence de mise en demeure préalable

30. La société fait valoir que les règles en matière de cookies et les responsabilités des différents acteurs qui y sont liées ne sont pas suffisamment claires pour engager directement une procédure de sanction, de sorte que cette dernière fait grief à la présidente de la CNIL de ne pas l’avoir préalablement mise en demeure de corriger les manquements à l’origine des faits litigieux.

31. En premier lieu, s’agissant du grief relatif à l’absence de mise en demeure préalable, la formation restreinte relève d’abord qu’il ressort des dispositions de l’article 20 de la loi « Informatique et Libertés  » modifiée par la loi n° 2018-493 du 20 juin 2018 que l’autorité de contrôle dispose d’un ensemble de mesures correctrices, adaptées selon les caractéristiques propres à chaque cas, qui peuvent être combinées entre elles et être précédées ou non d’une mise en demeure. Les mesures correctrices peuvent être prises directement dans tous les cas.

32. La formation restreinte relève également que dans sa décision n° 2018-765 du 12 juin 2018, le Conseil constitutionnel n’a pas émis de réserve s’agissant de la possibilité pour le président de la CNIL d’engager une procédure de sanction sans mise en demeure préalable. Enfin, la formation restreinte rappelle que le Conseil d’État a jugé (CE, 9 octobre 2020, Société SERGIC, n° 433311) qu’il « résulte clairement [des dispositions de l’article 20 de la loi du 6 janvier 1978 modifiée], que le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL […] « .

33. En second lieu, s’agissant du grief relatif à l’absence de clarté des règles en matière de cookies et de responsabilité des acteurs, la formation restreinte souligne d’abord, en synthèse et comme développé aux points 48 à 62, que les différentes branches du manquement reproché à la société ont pour seul fondement juridique les dispositions de l’article 82 de la loi « Informatique et Libertés  » dont le contenu est inchangé depuis dix ans.

34. La formation restreinte souligne ensuite que les pratiques à l’origine des différentes branches du manquement reproché en l’espèce à la société ont été continuellement considérées comme non conformes par la CNIL et que l’existence d’une responsabilité de l’éditeur du site a fait l’objet d’une décision du Conseil d’État, qui précise le périmètre de cette responsabilité (CE, 6 juin 2018, Éditions Croque Futur, n° 412589, Rec.).

35. La formation restreinte relève enfin que sur la base de ces dispositions, elle a déjà adopté plusieurs décisions de sanction.

36. […].

3. Sur la régularité de la présente procédure

37. En premier lieu, la société fait valoir, d’une part, que la rapporteure a refusé la demande d’audition qu’elle lui avait adressée le 13 janvier 2021 et, d’autre part, que la présidente de la CNIL lui a également apporté une réponse défavorable à une demande d’entretien sollicitée le 10 février 2021.

38. S’agissant de la demande d’audition, la formation restreinte relève que la rapporteure y a répondu en expliquant les raisons pour lesquelles elle n’apportait pas une suite favorable à cette demande. La rapporteure a ainsi indiqué qu’elle disposait, au jour de sa réponse, des informations nécessaires à sa compréhension du dossier et qu’elle s’estimait suffisamment éclairée par les investigations réalisées par les services de la CNIL. La formation restreinte rappelle à cet égard que l’audition de l’organisme par le rapporteur est une faculté qui lui est offerte par l’article 39 du décret n° 2019-536 du 29 mai 2019, et non une obligation.

39. S’agissant de la demande adressée à la présidente de la CNIL, la formation restreinte considère qu’il ne lui appartient pas de commenter la décision de la présidente.

40. En deuxième lieu, la société fait valoir que la plainte à l’origine de la procédure n’a pas fait l’objet d’une instruction de la part des services de la CNIL puisque ces derniers n’ont pas effectué de contrôle en ligne avant de solliciter ses observations dans le cadre de l’instruction de cette plainte.

41. La formation restreinte relève qu’il ressort des dispositions de l’article 8, I, 2° d) et g) de la loi « Informatique et Libertés  » que la CNIL peut décider à la suite de la réception d’une saisine, en opportunité et en fonction des circonstances de l’espèce, d’effectuer un contrôle ou d’adresser immédiatement un courrier à l’organisme afin de solliciter ses observations. Il n’est en aucun cas obligatoire que des vérifications formelles soient faites par une délégation de contrôle de la CNIL en application de l’article 19 de la loi précitée pour pouvoir procéder à l’instruction d’une plainte dont elle est saisie.

42. En troisième lieu, la société estime que la présidente de la CNIL n’aurait pas tenu compte des éléments de réponse apportés le 18 décembre 2020 par la société aux demandes complémentaires de la délégation de contrôle, puisqu’elle a été informée seulement trois jours plus tard, soit le 21 décembre 2020, de la saisine de la formation restreinte et de la désignation d’un rapporteur en vue du prononcé d’une éventuelle mesure correctrice.

43. La formation restreinte relève d’abord que la décision de la présidente de la CNIL de saisir la formation restreinte – en application de l’article 20 III de la loi « Informatique et Libertés  » – et de désigner un rapporteur – conformément à l’article 39 du décret n° 2019-536 du 29 mai 2019 – est prise en tenant compte de l’ensemble des éléments recueillis au cours de la procédure (procès-verbaux de contrôle, pièces, constatations, courriers en réponse aux demandes complémentaires de la délégation de contrôle, etc.) et pas uniquement du seul courrier du 18 décembre 2020, qui a toutefois, selon la rapporteure, été dûment analysé au même titre que l’ensemble des éléments de la procédure.

44. La formation restreinte rappelle ensuite que sa saisine ne constitue pas l’aboutissement de la procédure et qu’elle ne préjuge pas du prononcé d’une mesure correctrice par celle-ci. En effet, les textes applicables organisent la tenue d’une procédure contradictoire, dans le cadre de laquelle l’organisme concerné peut faire valoir ses observations. L’article 40 du décret n° 2019-536 du 29 mai 2019 prévoit ainsi que le mis en cause à qui est notifié un rapport proposant une sanction dispose tout d’abord d’un délai d’un mois pour transmettre ses observations à la formation restreinte et au rapporteur. Lorsque les circonstances de l’espèce ou la complexité de l’affaire le justifient, le président de la formation restreinte peut décider, sur demande du mis en cause, de prolonger, dans la limite d’un mois, ce délai. Ce même article octroie ensuite au responsable de traitement un second délai, d’au moins quinze jours, pour répondre aux observations en réponse du rapporteur. Ces délais sont de nature à garantir le respect des droits de la défense. Enfin, le responsable de traitement peut présenter des observations orales lors de la séance devant la formation restreinte.

45. Dans le cas d’espèce, la formation restreinte considère que la procédure suivie n’a pas privé la société de son droit de se défendre, les dispositions précitées ayant été appliquées. La société a bénéficié d’un délai de plus de cinq semaines pour produire ses observations, le président de la formation restreinte ayant accepté de lui accorder un délai supplémentaire, puis elle a disposé d’un nouveau délai pour produire de nouvelles observations écrites en réponse à celles de la rapporteure et elle a enfin eu la faculté de s’exprimer de nouveau lors de la séance devant la formation restreinte.

46. En dernier lieu, la société fait valoir que la multiplication des contrôles en ligne menés dans le cadre de la procédure a entravé sa capacité à se défendre efficacement. Elle explique que ces nombreux contrôles ont entraîné une situation d’asphyxie et qu’elle n’a plus été en mesure d’assurer sa défense dans des conditions normales. Elle considère donc être placée dans une situation de net désavantage par rapport à la CNIL.

47. La formation restreinte relève que le fait de réaliser plusieurs contrôles sur le site […].fr ne saurait constituer en soi une atteinte aux droits de la défense. La formation restreinte relève ensuite que la rapporteure indique dans ses écritures que ces contrôles en ligne ont été effectués pour vérifier certains des éléments avancés par la société. En outre, la formation restreinte considère que les contrôles n’ont porté que sur des éléments dont la société est censée avoir la pleine connaissance et la pleine maîtrise, en l’occurrence, son site web. Elle relève enfin que l’ensemble des vérifications ont été menées sur une période de temps relativement longue, – entre le mois de janvier 2020 et le mois de juin 2021 -, et qu’un seul contrôle a été mené après la notification du rapport de sanction sur lequel la société a eu la possibilité de faire valoir ses observations. En conséquence, la formation restreinte considère que la présente procédure et les différentes actions menées dans ce cadre n’ont pas porté atteinte aux droits de la défense de la société et ont respecté le principe du contradictoire.

B. Sur l’existence et l’étendue d’une responsabilité de la SOCIETE […] s’agissant des cookies déposés depuis son site web

48. Aux termes de l’article 82 de la loi « Informatique et Libertés  » , qui constitue la transposition en droit interne de l’article 5(3) de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, « tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur « .

49. La rapporteure considère que la SOCIETE […], en tant qu’elle édite le site web […].fr, a une part de responsabilité dans le respect des obligations de l’article 82 de la loi « Informatique et Libertés  » pour les opérations de lecture et / ou d’écriture d’informations effectuées dans le terminal des utilisateurs lors de la visite de son site web, y compris celles réalisées par des tiers qui sont ses partenaires commerciaux (ci-après « cookie tiers « ). Elle souligne que si l’obligation qui incombe à la société est bien une obligation de moyens, il apparaît également clairement qu’en l’espèce, les moyens mis en œuvre par la société ont été insuffisants. De plus, la rapporteure fait valoir que l’analyse qu’elle développe dans son rapport n’est pas nouvelle, qu’elle a été développée au regard de la jurisprudence applicable et que la formation restreinte a déjà sanctionné des manquements à l’article 82 de la loi précitée en lien avec des opérations de lecture et / ou d’écriture d’informations effectuées par des tiers.

50. En défense, la société conteste cette analyse et fait valoir que la présente procédure de sanction violerait le principe de légalité des délits et des peines, garanti à l’article 8 de la Déclaration des droits de l’homme et du citoyen, dès lors qu’il n’existe aucune doctrine de la CNIL ou de l’ensemble des régulateurs européens sur la répartition des responsabilités entre les éditeurs de site et les émetteurs de cookies tiers. Elle fournit à ce titre une synthèse de l’état des réflexions de la CNIL datant de 2017, […], et un courrier de la présidente de la CNIL adressé le 26 mars 2021 au Groupement des éditeurs de contenu et de services en ligne (le GESTE). Elle indique, en outre, que les décisions de sanction de novembre et décembre 2020 à l’encontre des sociétés CARREFOUR BANQUE et AMAZON EUROPE CORE ne sont pas pertinentes en ce qu’elles ne traitent pas de la répartition de la responsabilité entre les éditeurs et les tiers déposant les cookies. Enfin, elle considère qu’en tout état de cause, elle n’est pas responsable des opérations de lecture et / ou d’écriture d’informations effectuées par des tiers sur son site et que la rapporteure met à sa charge une obligation de résultat et non de moyens de respecter les dispositions de l’article 82 de la loi « Informatique et Libertés  » alors qu’elle ne dispose pas des possibilités techniques de faire respecter ces dispositions. Ces opérations sont en effet intégralement effectuées par des tiers qui ne respectent pas le signal qu’elle leur transmet en l’absence de consentement de l’utilisateur aux opérations de lecture et / ou d’écriture d’informations sur son terminal. En ce sens, la société soutient que l’ensemble des cookies identifiés dans le rapport comme étant des cookies « internes « , c’est-à-dire déposés par les domaines du site qu’elle édite (www.[…].fr », « .[…].fr  » ou « player-video.[…].fr « ), sont en réalité déposés par des tiers au moyen d’un code Javascript exécuté par la page du site web de l’éditeur visitée par l’internaute. La société indique que, dans ce cas, elle « n’est pas au courant de l’existence de ce cookie et n’a pas le moyen d’en contrôler le dépôt ou la lecture « . Dès lors, la société estime qu’elle est uniquement responsable de la fourniture d’une information préalable aux utilisateurs de son site […].fr et des modalités de recueil du consentement des utilisateurs aux opérations de lecture et / ou d’écriture d’informations.

51. En premier lieu, la formation restreinte relève, tout d’abord, que la société n’est pas fondée à soutenir que les obligations qui lui incombent en matière de cookies en tant qu’éditeur de site n’étaient pas identifiées avant la réception du rapport et faisaient l’objet de règles incertaines dans la mesure où ces règles ne sont pas nouvelles. En effet, la formation restreinte souligne à nouveau que les différentes branches du manquement reproché à la société – à savoir le dépôt de cookie sur le terminal de l’utilisateur dès son arrivée sur la page d’accueil du site […].fr avant toute action de sa part sans recueil du consentement ou après qu’il a exprimé son refus à de telles opérations de lecture et / ou d’écriture de telles informations – ont pour seul fondement juridique les dispositions de l’article 82 de la loi « Informatique et Libertés  » qui ont transposé les dispositions relatives aux cookies et traceurs de la directive « ePrivacy « . Elle signale que si ces prescriptions étaient autrefois prévues à l’article 32, paragraphe II, de cette même loi, avant que le texte ne soit refondu dans son ensemble par l’ordonnance n° 2018-1125 du 12 décembre 2018, leur contenu est demeuré inchangé depuis 2011.

52. La formation restreinte rappelle ensuite que le Conseil d’État a jugé (CE, 6 juin 2018, Editions Croque Futur, n° 412589, Rec.), qu’au titre des obligations qui pèsent sur l’éditeur d’un site qui dépose des « cookies tiers « , figurent celle de s’assurer auprès de ses partenaires, d’une part, qu’ils n’émettent pas, par l’intermédiaire de son site, des traceurs qui ne respectent pas la règlementation applicable en France et, d’autre part, celle d’effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements. Le Conseil d’État a en particulier jugé que « les éditeurs de site qui autorisent le dépôt et l’utilisation de tels « cookies  » par des tiers à l’occasion de la visite de leur site doivent également être considérés comme responsables de traitement, alors même qu’ils ne sont pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le « cookie « , notamment lorsque ce dernier conserve seul la maîtrise du respect de sa finalité ou de sa durée de conservation. Au titre des obligations qui pèsent sur l’éditeur de site dans une telle hypothèse, figurent celle de s’assurer auprès de ses partenaires qu’ils n’émettent pas, par l’intermédiaire de son site, des « cookies » qui ne respectent pas la règlementation applicable en France et celle d’effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements  » (surlignement ajouté).

[… passage central omis : décision trop longue pour une cellule …]

93. En deuxième lieu, la formation restreinte observe d’abord que, pour répondre à l’argument soulevé en défense par la société – selon lequel la délégation de la CNIL aurait effectué à tort ses constatations uniquement à partir d’un navigateur Firefox, alors qu’aucun cookie ou autre traceur ne serait déposé en contravention des règles applicables lorsque l’internaute se rend sur le site au moyen du navigateur Chrome – les services de la CNIL ont procédé à de nouvelles constatations le 1er juin 2021. La formation restreinte relève qu’à cette occasion, la délégation a constaté, tant sur le navigateur Chrome que sur le navigateur Firefox et à partir d’un historique de navigation vierge, le dépôt dans l’espace de stockage en local du navigateur d’un traceur nommé « […]  » et contenant un identifiant unique dès l’arrivée de l’utilisateur sur la page d’accueil du site […].fr et avant toute action de sa part.

94. La formation restreinte relève ensuite qu’après que l’utilisateur a manifesté son refus au dépôt des cookies, les services de la CNIL ont constaté la présence de requêtes contenant l’identifiant de ce traceur et la page visitée par ce dernier, à destination du domaine « […] « , identifié par la société comme un domaine en lien avec la diffusion de publicité ciblée. Dès lors, la formation restreinte relève que ces constats démontrent l’existence d’opérations effectuées par des tiers tendant à accéder à des informations déjà stockées dans l’équipement terminal des utilisateurs, ou à inscrire des informations dans cet équipement, en violation du refus exprimé par les utilisateurs, que celui-ci navigue au moyen des navigateurs Firefox ou Chrome.

95. Ainsi qu’il l’a été mentionné au point 91, la formation restreinte relève à nouveau que ce traceur est relatif à l’organisme « […] « , qui a été contacté à plusieurs reprises par courriel la société pour avoir effectué des opérations de lecture et / ou d’écriture d’informations dans le terminal des utilisateurs visitant le site […].fr en violation des règles applicables.

96. En conséquence, la formation restreinte considère qu’il s’ensuit que, tant sur le navigateur Firefox que sur le navigateur Chrome, les outils et moyens mis en œuvre par la société, à savoir une plateforme de gestion du consentement, un outil de veille et l’émission d’un signal de refus sont manifestement insuffisamment efficaces et ne permettent pas de faire cesser le manquement.

97. En troisième lieu, s’agissant du paramétrage de l’outil de veille mis en œuvre par la société qui contrôle uniquement les cookies déposés en violation des règles applicables lors de la navigation pour les utilisateurs au moyen du navigateur Chrome (ce qui correspond à […] des utilisateurs du site, selon la société), la formation restreinte relève d’abord que, parmi les […] de visiteurs en moyenne par mois du site internet […].fr, l’outil tel qu’il est paramétré ne permet pas de s’assurer du respect des règles applicables par les partenaires pour, a minima, environ […] de ses utilisateurs qui ont recours au navigateur Firefox (ce qui correspond à […] des utilisateurs du site, selon la société). La formation restreinte précise que ce nombre semble en outre être une hypothèse basse, compte tenu de l’existence d’autres navigateurs que les deux susmentionnés, que les internautes peuvent utiliser pour se rendre sur le site […].fr. En ce sens, le navigateur Chrome n’étant utilisé, d’après la société, que par environ 45 % des utilisateurs du site, la formation restreinte en déduit donc qu’environ 55 % des utilisateurs de ce site ne sont pas concernés par cet outil. La formation restreinte considère enfin qu’un outil qui détecte si des cookies sont déposés dès l’arrivée de l’utilisateur sur un site et avant toute action ne présente pas, dans son principe, de difficulté particulière à mettre en œuvre. La CNIL propose ainsi l’outil de visualisation dénommé « Cookieviz  » en accès libre pour mesurer l’impact des cookies et autres traceurs lors de la navigation d’un utilisateur, et plusieurs autres outils gratuits sont disponibles p