Cookies et retrait du consentement : la CNIL sanctionne l’absence d’alternative et les entraves à la révocation

La CNIL retient sa compétence pour contrôler les opérations de dépôt et de lecture de cookies relevant de la directive 2002/58/CE, transposée à l’article 82 de la loi Informatique et Libertés. Le mécanisme du guichet unique de l’article 56 du RGPD ne s’applique pas à ces opérations, qui relèvent des autorités nationales. La compétence territoriale découle de l’article 3 de la même loi : une filiale française constitue un établissement lorsque son activité est réelle, stable et effectivement liée au traitement, notamment par la promotion de produits publicitaires fonctionnant grâce aux traceurs.

La société est qualifiée de responsable du traitement au sens de l’article 4, paragraphe 7, du RGPD dès lors qu’elle détermine les finalités et les moyens des traitements de cookies. La procédure n’est pas irrégulière : le délai suivant la désignation du rapporteur est jugé raisonnable et l’erreur alléguée dans les captures du procès-verbal n’est pas établie.

La formation restreinte considère que le retrait du consentement n’est pas libre lorsque l’utilisateur risque de perdre l’accès à une messagerie et qu’aucune alternative équivalente n’est proposée. Le consentement et son retrait doivent respecter les exigences de l’article 82 de la loi Informatique et Libertés ; la portabilité prévue par l’article 20 du RGPD ne remplace pas le droit de s’opposer au dépôt des cookies. Une amende de 10 millions d’euros est prononcée sur le fondement de l’article 20, paragraphe III, de la loi Informatique et Libertés, en tenant compte des critères de l’article 83 du RGPD.

⬇️Télécharger la décision version officielle

À la suite de plaintes concernant les cookies et le retrait du consentement, la CNIL a retenu la compétence de la filiale française et la responsabilité de la société dans la détermination des finalités et moyens. Le retrait du consentement pouvait entraîner la perte d’accès à la messagerie sans solution équivalente. Une amende de dix millions d’euros a été prononcée.

Vingt-sept plaignants ont dénoncé le dépôt de cookies avant toute action, la prise en compte insuffisante du refus et les modalités de retrait du consentement sur un site internet et une messagerie électronique. La CNIL a réalisé deux contrôles en ligne en octobre 2020 et juin 2021, puis a engagé une procédure de sanction après désignation d’un rapporteur.

La société contrôlée contestait notamment la compétence territoriale de la CNIL, la régularité de la procédure et l’existence d’un manquement. La formation restreinte a retenu qu’une filiale française constituait un établissement lié au traitement et que la société contrôlée en déterminait les finalités et les moyens.

Elle a constaté que le retrait du consentement pouvait entraîner la perte de l’accès à la messagerie, sans alternative équivalente. Une amende administrative de dix millions d’euros a été prononcée, avec publication de la décision pendant deux ans sous l’identification de la société.

• Traitement relevant du champ de la directive ePrivacy.
• Présence d’un établissement stable exerçant une activité réelle en France.
• Traitement réalisé dans le cadre des activités de cet établissement.
• Responsable déterminant les finalités et les moyens du traitement.
• Retrait du consentement susceptible d’entraîner un préjudice pour l’utilisateur.
• Absence d’alternative équivalente au service conditionné à l’acceptation des cookies.
• Gravité, durée et ampleur du manquement pour fixer l’amende.

• Procès-verbaux des contrôles en ligne d’octobre 2020 et juin 2021.
• Captures d’écran des interfaces de consentement et de retrait.
• Messages avertissant de la perte d’accès à la messagerie.
• Politique de confidentialité désignant la société comme responsable.
• Audition décrivant les activités commerciales de la filiale française.
• Éléments établissant environ cinq millions de visiteurs concernés.

La société est exposée à une amende de 10 millions d’euros et à la publicité de la décision pendant deux ans. Les utilisateurs doivent pouvoir retirer leur consentement sans perdre l’accès à leur messagerie ou sans subir un préjudice comparable, ce qui impose une alternative équivalente.

• Exclusion d’un retrait conditionné à la suppression de la messagerie.
• Impact direct sur la conception des interfaces de consentement.
• Nécessité d’une alternative équivalente, éventuellement payante.
• Renforcement de la documentation des parcours utilisateurs.
• Prise en compte du chiffre d’affaires mondial pour l’amende.

À faire

• Informer clairement avant tout dépôt de cookies.
• Permettre un refus et un retrait réellement accessibles.
• Prévoir une alternative équivalente au service conditionné.
• Tester les parcours utilisateurs sur plusieurs terminaux.
• Conserver les preuves des contrôles et corrections effectués.

À éviter

• Déposer des cookies avant le consentement exprès.
• Menacer de supprimer l’accès à une messagerie.
• Masquer le retrait dans un parcours complexe.
• Présenter la portabilité comme substitut au retrait.
• Attendre un contrôle pour corriger les pratiques.

La compétence nationale en matière de cookies

La CNIL est compétente pour contrôler et sanctionner les opérations d’accès ou d’inscription d’informations dans les terminaux français relevant de la directive 2002/58/CE. Son article 5, paragraphe 3, est transposé à l’article 82 de la loi Informatique et Libertés. Le mécanisme du guichet unique de l’article 56 du RGPD ne s’applique pas à ces mesures de contrôle.

Le rattachement territorial d’un traitement à un établissement français

L’article 3 de la loi Informatique et Libertés s’applique lorsque le traitement est effectué dans le cadre des activités d’un établissement français. Cette notion est appréciée souplement, selon la stabilité de l’installation et la réalité de l’activité. La promotion française de produits publicitaires utilisant des traceurs suffit à établir le rattachement, même sans intervention directe dans le traitement.

La liberté du retrait du consentement aux cookies

Le retrait n’est pas libre lorsque sa mise en œuvre prive l’utilisateur d’un service de messagerie et qu’aucune alternative équivalente n’est proposée. La formation retient qu’un cookie wall n’est admissible qu’à condition que le refus ou le retrait n’occasionne pas de préjudice. L’article 20 du RGPD, relatif à la portabilité, ne permet pas d’empêcher le dépôt des cookies.

Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 19-III de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 18 de la loi n° 78-17 du 6 janvier 1978, Article 4, paragraphe 7, du RGPD, Article 20 du RGPD, Article 83 du RGPD, Article 39 du décret n° 2019-536 du 29 mai 2019