La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Monsieur Philippe-Pierre CABOURDIN, vice-président, Madame Anne DEBET et Monsieur Alain DRU, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision no 2021-108C du 20 mai 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles depuis les domaines [V].fr et [W].com ou portant sur des données à caractère personnel collectées à partir de ces derniers ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 28 juillet 2021 ;

Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux sociétés [X] et [Y] le 2 septembre 2021 ;

Vu les observations écrites versées par les conseils des sociétés [X] et [Y] le 8 octobre 2021 ;

Vu la réponse de la rapporteure à ces observations notifiées le 22 octobre 2021 aux conseils des sociétés ;

Vu les observations écrites versées par les conseils des sociétés [X] et [Y] reçues le 12 novembre 2021 ;

Vu les observations orales formulées lors de la séance de la formation restreinte ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 25 novembre 2021 :

– Madame Valérie PEUGEOT, commissaire, entendue en son rapport ;

En qualité de représentants des sociétés [X] et [Y] :

– […] ;

En qualité d’interprètes des sociétés [X] et [Y] :

– […] ;

Les sociétés [X] et [Y] ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. Faits et procédure

1. La société [X] est une société à responsabilité limitée ayant son siège social aux États-Unis. Depuis sa création en […], elle a développé de nombreux services à destination des particuliers et des entreprises, tels que […]. Elle possède plus de 70 bureaux implantés dans une cinquantaine de pays et emploie plus de 135 000 personnes à travers le monde. Depuis août 2015, la société [X] est une filiale détenue à 100% par la société [X’]., maison-mère du groupe [V].

2. En 2020, la société [X’]. a réalisé un chiffre d’affaires de plus de 182 milliards de dollars, tandis que la société [X] a réalisé un chiffre d’affaires de plus de […] de dollars. Le moteur de recherche [V] a généré plus de 104 milliards de dollars de revenus, tandis que la publicité via les services du groupe [V] a généré des revenus de près de 147 milliards de dollars et, via les services de [W], de près de 20 milliards.

3. La société [Y] (ci-après la société [Y] ) se présente comme étant le siège du groupe [V] pour ses activités dans l’espace économique européen et en Suisse. Établie à Dublin (Irlande), elle emploie environ […] personnes. Elle a réalisé un chiffre d’affaires de […] d’euros en 2019.

4. La société [Z] SARL est l’établissement français du groupe [V]. Filiale détenue à 100 % par la société [X], son siège social est situé à Paris. Elle emploie environ […] salariés et a réalisé un chiffre d’affaires de […] d’euros en 2019.

5. Le 16 mars 2020, dans le cadre d’une précédente procédure diligentée à l’encontre des sociétés [X] et [Y], une délégation de la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a effectué un contrôle en ligne sur le site web [V].fr . Cette mission avait notamment pour objet de vérifier le respect, par les sociétés [X] et [Y], des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi Informatique et Libertés ) et notamment de son article 82.

6. En application de l’article 22 de la loi Informatique et Libertés , la présidente de la CNIL a désigné un rapporteur le 8 juin 2020.

7. Par délibération n° SAN-2020-012 du 7 décembre 2020, la formation restreinte a :

– prononcé à l’encontre de la société [X] et de [Y] des amendes administratives d’un montant respectif de 60 millions et 40 millions d’euros pour manquement à l’article 82 de la loi Informatique et Libertés ;

– prononcé à l’encontre des sociétés [X] et [Y] une injonction de mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés , en particulier :

o informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site [V].fr :

– des finalités de tous les cookies soumis au consentement,

– des moyens dont elles disposent pour les refuser ;

– assorti l’injonction d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la présente délibération ;

– rendu publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

8. Le 29 janvier 2021, les sociétés ont formé un recours en référé devant le Conseil d’État, sollicitant la suspension de l’injonction. Cette demande a été rejetée par une décision du 4 mars 2021 (CE, juge des référés, 4 mars 2021, N° 449212).

9. Parallèlement, les sociétés ont formé un recours de plein contentieux à l’encontre de la délibération du 7 décembre 2020. La procédure est toujours pendante devant le Conseil d’État.

10. Par délibération n° SAN-2021-004 du 30 avril 2021, la formation restreinte a considéré que les sociétés avaient satisfait à l’injonction dans le délai imparti, dans la mesure où les personnes se rendant sur le site [V].fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site .

11. Les 18 mars, 31 mars, 2 avril et 28 avril 2021, la CNIL a été saisie de plusieurs plaintes dénonçant les modalités de refus des cookies des sites internet [V].fr et [W].com mis à la disposition des utilisateurs situés en France.

12. En application de la décision n° 2021-108C du 20 mai 2021 de la présidente de la Commission, les services de la CNIL ont procédé à un contrôle en ligne, le 1er juin 2021, sur les sites web [V].fr et [W].com .

13. Cette mission avait notamment pour objet de vérifier le respect, par les sociétés [X] et [Y] (ci-après les sociétés ), des dispositions de la loi Informatique et Libertés .

14. Dans le cadre du contrôle en ligne, la délégation a effectué des constatations lorsque l’utilisateur se rend sur les sites [V].fr et [W].com ; lorsqu’il clique sur le bouton Personnaliser ; lorsqu’il clique sur le lien Règles de confidentialité et lorsqu’il clique sur Conditions d’utilisation .

15. Le 3 juin 2021, la délégation a notifié aux sociétés le procès-verbal dressé dans le cadre du contrôle en ligne, en leur demandant d’indiquer, pour chacun des cookies mentionnés dans ledit procès-verbal, sa finalité et de fournir une volumétrie du nombre de visiteurs uniques quotidiens pour les sites [V].fr et [W].com au cours des douze derniers mois depuis la France.

16. Les 21 juin et 9 juillet 2021, la CNIL a été saisie de deux nouvelles plaintes dénonçant les modalités de refus des cookies du site web [V].fr .

17. Par courrier du 9 juillet 2021, la société [Y] a répondu à la demande de la délégation, indiquant apporter une réponse sans préjudice de [ses] droits au titre du RGPD, en particulier du mécanisme de guichet unique et du rôle d’autorité chef de file de la Data Protection Commission irlandaise (“DPC“) dans le cadre d’enquêtes . Elle a précisé agir en qualité de responsable du traitement des données à caractère personnel s’agissant des cookies déployés sur les domaines [V].fr et [W].com pour les utilisateurs situés au sein de l’espace économique européen et en Suisse. Elle a transmis en outre la finalité de chacun des cookies déposés sur le terminal des utilisateurs et identifiés dans le procès-verbal de constatations. Elle a en revanche refusé de fournir la volumétrie du nombre de visiteurs uniques de ces deux sites web au cours des douze derniers mois depuis la France, considérant qu’il n’était pas nécessaire de fournir ces informations à ce stade.

18. Aux fins d’instruction de ces éléments, la présidente de la Commission a désigné Madame Valérie PEUGEOT en qualité de rapporteure, le 28 juillet 2021, sur le fondement de l’article 22 de la loi Informatique et Libertés .

19. À l’issue de son instruction, la rapporteure a fait signifier en main propre, le 2 septembre 2021, aux conseils des sociétés et par courrier électronique à leurs représentants, un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés qu’elle estimait constitué en l’espèce.

20. Ce rapport proposait à la formation restreinte de la Commission de prononcer une amende administrative à l’encontre des deux sociétés, ainsi qu’une injonction de mettre en conformité le traitement consistant en des opérations de lecture et/ou d’écriture d’informations dans le terminal des utilisateurs situés en France, sur les sites internet [V].fr et [W].com , avec les dispositions de l’article 82 de la loi Informatique et Libertés , assortie d’une astreinte. Il proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

21. Par courrier du 9 septembre 2021, les sociétés, par l’intermédiaire de leurs conseils, ont sollicité un délai supplémentaire pour fournir leurs observations en réponse. Par courrier du 15 septembre 2021, le président de la formation restreinte leur a accordé un délai supplémentaire jusqu’au 8 octobre 2021.

22. Par courrier du 27 septembre 2021 adressé au président de la formation restreinte, les sociétés, par l’intermédiaire de leurs conseils, ont sollicité la suspension de la procédure dans l’attente de la décision du Conseil d’État dans le cadre du recours diligenté contre la délibération n° SAN-2020-012 du 7 décembre 2020. Le 30 septembre 2021, les conseils des sociétés ont informé le président de la formation restreinte de la création d’un groupe de travail par le Comité européen à la protection des données (ci-après le CEPD ), destiné à coordonner la réponse aux plaintes relatives aux bannières cookies, déposées par l’association None of Your Business (ci-après l’association NOYB ) auprès de différentes autorités de protection des données européennes.

23. Par courrier du 4 octobre 2021, la président de la formation restreinte a rejeté la demande de suspension de la procédure formulée par les sociétés.

24. Le 8 octobre 2021, les sociétés ont produit des observations en réponse au rapport de sanction.

25. La rapporteure a répondu aux observations des sociétés le 22 octobre 2021.

26. Le 27 octobre 2021, par l’intermédiaire de leurs conseils, les sociétés ont formulé une demande d’extension du délai de quinze jours prévu par l’article 40 du décret n° 2019-536 du 29 mai 2019 pour produire leurs observations en réponse, une demande de report de la séance de la formation restreinte fixée au 25 novembre 2021 et une demande pour que la séance se tienne à huis clos.

27. Le 29 octobre 2021, le président de la formation restreinte a accordé un délai supplémentaire de huit jours aux sociétés pour produire leurs secondes observations et a refusé de reporter la date de la séance de la formation restreinte et de tenir ladite séance à huis clos.

28. Le 12 novembre 2021, les sociétés ont produit de nouvelles observations en réponse à celles de la rapporteure.

29. Les sociétés et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.

II. Motifs de la décision

A. Sur la demande de suspension de la procédure

30. Les sociétés sollicitent que la formation restreinte sursoie à statuer dans l’attente de la décision qui sera rendue par le Conseil d’État dans le cadre du recours formé à l’encontre de la délibération n° SAN-2020-012 du 7 décembre 2020 et dans l’attente des conclusions du nouveau groupe de travail du CEPD mentionné ci-avant. Elles fondent leur demande sur l’article 66 du règlement intérieur de la CNIL et sur le principe de bonne administration de la justice. Les sociétés font notamment valoir qu’elles demandent au Conseil d’État de se prononcer sur plusieurs moyens qui auront des conséquences directes et décisives sur la présente procédure de sanction. Elles soutiennent en particulier devant le Conseil d’État que la CNIL n’était pas compétente pour prononcer des sanctions administratives à leur encontre, alors au surplus que le cadre juridique applicable en matière de cookies n’était pas encore consolidé et que les sanctions prononcées sont manifestement injustifiées et disproportionnées.

31. En premier lieu, la formation restreinte observe que l’article 66 du règlement intérieur de la CNIL dispose que Les séances de la formation restreinte sont présidées par son président ou, en cas d’empêchement, par son vice-président. Le président de séance dirige les débats et assure la police de la séance. Il peut ordonner toute suspension qu’il juge utile . La suspension évoquée dans le cadre de cet article ne concerne pas la suspension de la procédure de sanction, mais vise la suspension de la séance de la formation restreinte.

32. En deuxième lieu, les sociétés ont déjà fait valoir ces mêmes arguments auprès du président de la formation restreinte dans leur courrier du 27 septembre 2021, lequel a refusé de faire droit à la demande de suspension par courrier du 4 octobre, en considérant que la décision d’engager une procédure de sanction appartient au président de la Commission et qu’il n’entre pas dans les pouvoirs du président de la formation restreinte d’en ordonner la suspension. Le président de la formation restreinte rappelait également dans ce courrier qu’en application de l’article L. 4 du code de justice administrative, la requête en annulation formée contre la délibération de la formation restreinte du 7 décembre 2020 devant le Conseil d’État n’a pas d’effet suspensif et, qu’au surplus, la date à laquelle cette juridiction examinera ce dossier n’était pas connue. Il ajoutait enfin que la création d’un groupe de travail au sein du CEPD n’était pas de nature, en tout état de cause, à justifier une suspension de la procédure de sanction.

33. En troisième lieu, la décision du Conseil d’État pourrait ne pas intervenir avant plusieurs mois.

34. En dernier lieu, s’agissant de la création du groupe de travail par le CEPD concernant les bandeaux cookies, la formation restreinte relève que l’issue de ces travaux n’est pas connue à ce jour.

35. La formation restreinte considère dès lors qu’il n’y a pas lieu de surseoir à statuer.

B. Sur le grief tiré de la violation du principe non bis in idem

36. Les sociétés soutiennent que la formation restreinte ne peut se prononcer une nouvelle fois sur les mêmes faits que ceux concernés par les délibérations n° SAN-2020-012 du 7 décembre 2020 et n° SAN-2021-004 du 30 avril 2021, sans violer le principe non bis in idem. Elles font valoir que les parties concernées par cette procédure et les précédentes délibérations précitées sont identiques, que les deux procédures concernent les mêmes faits et qu’une décision définitive, la délibération n° SAN-2021-004 du 30 avril 2021, est intervenue.

37. En premier lieu, la formation restreinte relève que, dans sa délibération n° SAN-2020-012 du 7 décembre 2020, elle a retenu un manquement à l’article 82 de la loi Informatique et Libertés compte tenu du défaut d’information des personnes, du défaut de recueil du consentement des personnes avant le dépôt des cookies sur leur terminal et du caractère partiellement défaillant du mécanisme d’opposition mis en place par [V]. Elle a également prononcé à leur encontre une injonction de mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés , en particulier :

o Informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site [V].fr :

– des finalités de tous les cookies soumis au consentement,

– des moyens dont elles disposent pour les refuser .

38. La formation restreinte relève ainsi que la première procédure ayant abouti à la délibération précitée comportait une injonction relative à l’information des utilisateurs sur les finalités des cookies soumis au consentement et sur les moyens de refuser les cookies. La procédure actuelle porte sur les modalités de refus elles-mêmes, et non uniquement sur l’information. Ainsi, les deux procédures ne concernent pas les mêmes faits.

39. En deuxième lieu, les sociétés font valoir que, aux termes de la délibération n° SAN-2020-012 du 7 décembre 2020, la formation restreinte leur a enjoint de se conformer à l’article 82 de la loi Informatique et Libertés dans toutes ses dispositions et de fournir notamment, mais non exclusivement en raison de l’utilisation des termes en particulier , des informations sur les finalités des cookies et sur les moyens de s’y opposer. Elles ajoutent que, par la délibération n° SAN-2021-004 du 30 avril 2021, la formation restreinte aurait décidé que le mécanisme de consentement et de rejet des cookies, dans son entièreté, était conforme à l’article 82 de la loi Informatique et Libertés et que les sociétés auraient satisfait à l’injonction dans le délai imparti.

40. La formation restreinte ne souscrit pas à cette analyse. Le rapport de sanction de la procédure antérieure ne portait que sur l’information mise en place par les sociétés sur le bandeau cookies, sur le dépôt de cookies sans consentement et sur la défaillance partielle du mécanisme d’opposition . Il ne fait donc aucun doute que la formation restreinte n’a pas pu se prononcer sur ce dont elle n’était pas saisie dans le cadre de la procédure contradictoire. Ainsi, si les mots en particulier peuvent porter à confusion, lorsque la formule est prise de manière isolée, la formation restreinte rappelle que cette injonction ne saurait être lue de manière décorrélée de l’ensemble de la décision correspondante. Or, dans le cadre de cette précédente procédure, la formation restreinte ne s’est prononcée que sur le périmètre précité et l’injonction n’a été prononcée qu’en lien avec l’information des personnes. Les modalités de refus des opérations de lecture et/ou d’écriture, qui sont l’objet de la présente procédure de sanction, ne rentraient pas dans le champ de cette injonction. La délibération n° SAN-2021-004 du 30 avril 2021 devant nécessairement être lue à la lumière de la délibération n° SAN-2020-012 du 7 décembre 2020, il ne saurait être considéré que l’injonction prononcée portait sur l’ensemble des obligations résultant de l’article 82 de la loi Informatique et Libertés .

41. À cet égard, la formation restreinte relève que, dans deux courriers du 17 février 2021 adressés aux sociétés, le secrétaire général de la CNIL a rappelé que, comme cela ressort des motifs et du dispositif de la délibération n° SAN-2020-012 du 7 décembre 2020, la conformité attendue dans la cadre de la procédure d’injonction portait uniquement sur l’information fournie aux personnes sur la page d’accueil du site [V].fr . Il était également indiqué que, s’agissant de l’obligation d’informer les personnes concernées de manière claire et complète des moyens mis à leur disposition pour refuser les cookies, cette question est difficilement détachable de la question des modalités de refus sur le premier niveau, par un bouton refuser ou une solution équivalente, qui n’est pas dans le champ de l’injonction . Dans une perspective d’accompagnement – et au regard des évolutions attendues au titre de l’entrée en vigueur du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ), éclairées par la recommandation du 17 septembre 2020, et pour lesquelles une période d’adaptation avait été laissée par la CNIL aux acteurs jusqu’au 1er avril 2021 – le courrier comportait une analyse excédant le périmètre de l’injonction prononcée par la formation restreinte, qui portait sur les éléments fournis par les sociétés en réponse à l’injonction, éléments qui dépassaient eux-mêmes le périmètre du dispositif de la délibération. Dans ce cadre, il était rappelé aux sociétés qu’il doit être aussi facile de donner son consentement que de refuser de le donner ou de le retirer et il leur était indiqué qu’il leur reviendrait d’insérer sur le bandeau d’information un bouton Je refuse à côté du bouton J’accepte , tout en précisant qu’elles pouvaient bien entendu changer les intitulés de ces boutons tant qu’ils permettent à l’utilisateur de comprendre clairement et directement les conséquences de ses choix . Si ce courrier ne revêt aucune valeur impérative, la formation restreinte relève qu’aux termes d’un courrier que [Y] a adressé au président de la formation restreinte le 30 mars 2021, la société avait répondu : nous partageons l’analyse des services de la CNIL selon laquelle le mécanisme de consentement de [V] n’entre pas dans le périmètre de l’injonction prononcée par la formation restreinte dans sa délibération du 7 décembre 2020 .

42. Dès lors, les sociétés ne sauraient affirmer que la formation restreinte a validé le nouveau bandeau cookies mis en place par leurs soins à la suite de la première procédure de sanction, alors même qu’elles avaient elles-mêmes pleinement conscience que le mécanisme de consentement et de rejet des cookies, dans son entièreté, n’était pas l’objet de cette procédure précédente et que la CNIL a rappelé à différentes occasions qu’elle ne se prononçait pas sur ce point dans le cadre de la précédente procédure.

43. La formation restreinte relève en effet que, dans son communiqué de presse relatif à la clôture de l’injonction du 4 mai 2021, la CNIL avait également pris soin de préciser que : Saisie avant la fin de la période d’adaptation laissée aux acteurs par la CNIL, la formation restreinte n’a pas examiné la conformité du bandeau d’information fourni sur le site [V].fr aux nouvelles règles en matière de cookies, portant notamment sur le consentement, qui sont éclairées par les lignes directrices et la recommandation du 17 septembre 2020. Cette décision de clôture ne préjuge donc pas de l’analyse de la CNIL quant à la conformité de [V].fr à ces exigences, selon lesquelles l’utilisateur doit désormais être en mesure de refuser les cookies aussi facilement qu’il peut les accepter. La CNIL se réserve désormais la possibilité de contrôler ces modalités de refus et, si nécessaire, de mobiliser l’ensemble de sa chaîne répressive .

44. En dernier lieu, la formation restreinte relève que la présente procédure vise à la fois les sites internet [V].fr et [W].com , alors que la précédente procédure ne portait que sur le site [V].fr .

45. La formation restreinte considère dès lors que le grief tiré de la violation du principe non bis in idem doit être écarté.

C. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de guichet unique prévu par le RGPD

46. Les traitements objets du contrôle diligenté le 1er juin 2021 par une délégation de la CNIL sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposés au sein de l’Union européenne. À ce titre, ils entrent dans le champ d’application matériel de la directive ePrivacy .

47. L’article 5, paragraphe 3, de cette directive, relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés , au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications électroniques.

48. Aux termes de l’article 16 de la loi Informatique et Libertés , la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi . Au titre de l’article 20, paragraphe III, de cette même loi, lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés […] peut saisir la formation restreinte .

49. La rapporteure considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations mises en œuvre par les sociétés dans les terminaux des utilisateurs des sites [V].fr et [W].com en France.

50. Les sociétés contestent la compétence de la CNIL et estiment qu’elles devraient se voir appliquer le cadre procédural prévu par le RGPD, c’est-à-dire le mécanisme de coopération entre les autorités de contrôle, dit mécanisme de guichet unique , prévu au chapitre VII du Règlement. En application de ce mécanisme, l’autorité de contrôle compétente pour connaître des faits en cause ne serait pas la CNIL mais l’autorité de protection des données irlandaise, la Data Protection Commissionner (ci-après la DPC ), qui devrait agir en qualité d’autorité chef de file à l’égard du déploiement des cookies, celle-ci étant compétente selon les sociétés aussi bien au titre du RGPD que de la directive ePrivacy .

51. À ce soutien, les sociétés invoquent notamment le lien inextricable entre le RGPD et la directive ePrivacy , considérant que l’application du RGPD ne peut être exclue lorsque l’article 82 de la loi Informatique et Libertés s’applique. Elles invoquent également le principe de lex specialis – lex generalis en vertu duquel, selon elles, la directive ePrivacy précise et complète le RGPD. Les sociétés considèrent que l’absence de règles spécifiques relatives à la détermination de la compétence de l’autorité de contrôle en cas de traitements transfrontaliers relevant du champ d’application de la directive ePrivacy devrait se voir suppléée par l’application du cadre procédural prévu par le RGPD. Elles soutiennent que l’application du mécanisme de guichet unique est non seulement conforme à l’intention du législateur européen, mais aussi à l’interprétation du CEPD, et correspond en outre à la position adoptée par plusieurs autorités européennes. Elles relèvent à cet égard que le pouvoir laissé aux États membres quant au choix de l’autorité nationale chargée de veiller au respect de la directive ePrivacy ne fait pas obstacle à l’application du mécanisme de guichet unique prévu par le RGPD, dans la mesure où des accords de coopération entre ces autorités ont été conclus dans plusieurs États membres afin que les autorités de protection des données et les autorités chargées de l’application de la directive ePrivacy , s’il s’agit d’autorités différentes, puissent exercer conjointement des pouvoirs d’exécution sur une question relevant du champ d’application du RGPD et de la directive ePrivacy et ainsi participer au mécanisme de guichet unique.

52. Les sociétés ajoutent en outre que l’annonce du CEPD du 27 septembre 2021 relative à la création d’un groupe de travail sur les bandeaux cookies en réponse au nombre important de plaintes récemment déposées auprès des autorités de contrôle par l’association NOYB constitue une preuve selon laquelle le CEPD considère que les violations liées aux cookies relèvent directement du champ d’application du RGPD et, par conséquent, du mécanisme de guichet unique .

[… passage central omis : décision trop longue pour une cellule …]

111. Ainsi, dans l’information qu’elles proposent aux utilisateurs français, les sociétés [X] et [Y] n’opèrent toujours aucune distinction dans leur présentation des cookies utilisés par le groupe [V].

112. En deuxième lieu, la formation restreinte avait également relevé, dans sa délibération précitée, que malgré la participation non contestable de la société [Y] aux différentes étapes et instances liées à la définition des modalités de mise en œuvre des cookies déposés sur [V], l’organisation matricielle décrite par les sociétés […] a mis en évidence que la société [X] est également représentée dans les organes adoptant les décisions relatives au déploiement des produits au sein de l’EEE et en Suisse et aux traitements de données à caractère personnel des utilisateurs y résidant et qu’elle y exerce une influence significative ou encore que le délégué à la protection des données désigné par la société [Y] […] ainsi que ses DPO adjoints sont basés en Californie en qualité d’employés de la société [X] .

113. En troisième lieu, la formation restreinte avait considéré que, bien qu’en vertu d’une lecture formelle du contrat de sous-traitance du 11 décembre 2018, la société [X] agirait en qualité de sous-traitant de la société [Y] dans le traitement des données des utilisateurs européens recueillies via les cookies, l’implication réelle de la société [X] dans le traitement en cause va bien au-delà de celle d’un sous-traitant qui se contenterait de procéder à des opérations de traitement pour le compte de la société [Y] et sur ses seules instructions .

114. Au vu des éléments au dossier, la formation restreinte maintient que la société [X] joue un rôle fondamental dans l’ensemble du processus décisionnel portant sur les traitements en cause. Elle détermine également les moyens des traitements étant donné que, comme évoqué ci-avant, c’est elle qui conçoit et construit la technologie des cookies déposés sur les terminaux des utilisateurs européens. La formation restreinte relève que, si elle ne s’était prononcée que s’agissant du moteur de recherche [V] dans sa délibération n° SAN-2020-012 du 7 décembre 2020, elle considère que le même raisonnement est applicable, sur la base de ces mêmes éléments, pour [W], notamment dans la mesure où, lorsque l’utilisateur clique sur Règles de confidentialité et conditions d’utilisation à partir de [W].com , il est renvoyé vers les règles de confidentialité et conditions d’utilisation du groupe [V].

115. Il résulte de l’ensemble de ce qui précède que les sociétés [X] et [Y] déterminent conjointement les finalités et les moyens du traitement consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation du moteur de recherche [V] et de [W].

G. Sur le manquement aux obligations en matière de cookies

116. Aux termes de l’article 82 de la loi Informatique et Libertés , tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant :

1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;

2° Des moyens dont il dispose pour s’y opposer.

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. […] .

117. La directive ePrivacy prévoit quant à elle en son art