Consentement aux cookies : la CNIL sanctionne le déséquilibre entre acceptation et refus

L’article 82 de la loi Informatique et Libertés, transposant l’article 5, paragraphe 3, de la directive ePrivacy, impose une information claire et complète ainsi que le consentement préalable de l’utilisateur avant l’accès à des informations stockées ou leur inscription dans le terminal. Les exemptions sont limitées aux opérations exclusivement nécessaires à la communication électronique ou strictement nécessaires à un service expressément demandé.

La CNIL se reconnaît compétente pour contrôler ces opérations, y compris lorsqu’elles s’inscrivent dans un traitement transfrontalier : le mécanisme de guichet unique de l’article 56 du RGPD ne s’applique pas au contrôle de la directive ePrivacy. La compétence territoriale résulte de l’article 3 de la loi Informatique et Libertés lorsque le traitement est effectué dans le cadre des activités d’un établissement situé en France.

La formation restreinte retient également la responsabilité de l’entité qui détermine les finalités et les moyens du traitement, au sens de l’article 4, paragraphe 7, du RGPD. Le dépôt d’un cookie multi-finalités avant toute action de l’utilisateur ne pouvait être justifié par les seules finalités de lutte contre la fraude publicitaire.

Le consentement n’est pas libre lorsque le refus est plus complexe que l’acceptation. L’absence initiale de bouton « Tout refuser », le parcours imposant plusieurs actions et l’ambiguïté des intitulés ont caractérisé le manquement à l’article 82. La CNIL prononce une amende de 60 millions d’euros, une injonction sous astreinte et la publication de la décision, sur le fondement de l’article 20, paragraphe III, de la loi et de l’article 83 du RGPD.

⬇️Télécharger la décision version officielle

Un moteur de recherche déposait un cookie multi-finalités dès l’arrivée des utilisateurs, sans consentement préalable. Le parcours permettait d’accepter les cookies plus facilement que de les refuser, le refus nécessitant plusieurs actions supplémentaires. Malgré l’ajout d’un bouton « Tout refuser » en mars 2022, la CNIL a retenu un manquement à l’article 82 de la loi Informatique et Libertés, prononcé une amende de 60 millions d’euros et une injonction sous astreinte.

Une société exploitant un moteur de recherche accessible en France déposait un cookie multi-finalités dès l’arrivée des utilisateurs, avant toute action et sans consentement préalable. Ce cookie servait notamment à la sécurité, à la mesure d’audience et à la lutte contre la fraude publicitaire, cette dernière finalité étant liée à la publicité contextuelle.

La CNIL a effectué plusieurs contrôles en ligne, recueilli les explications de la société et constaté que le parcours permettait d’accepter les cookies plus simplement que de les refuser. L’utilisateur devait accéder à des options supplémentaires et effectuer plusieurs actions, tandis qu’aucun bouton de refus immédiat n’était proposé au premier niveau.

La société a installé un bouton « Tout refuser » en mars 2022. La formation restreinte a néanmoins retenu un manquement à l’article 82 de la loi Informatique et Libertés, prononcé une amende de 60 millions d’euros, une injonction assortie d’une astreinte et la publication de la décision.

• Identifier une opération d’accès ou d’inscription d’informations dans le terminal
• Vérifier l’absence de finalité exclusivement nécessaire à la communication électronique
• Établir que le consentement n’a pas été recueilli avant le dépôt
• Comparer concrètement la simplicité des parcours d’acceptation et de refus
• Caractériser une information insuffisante ou des intitulés ambigus
• Relier le traitement aux activités d’un établissement situé en France

• Procès-verbaux des contrôles en ligne des 29 septembre 2020 et 11 mai 2021
• Constat du dépôt du cookie avant toute action de l’utilisateur
• Parcours contrôlé avec boutons « Accepter » et « Plus d’options »
• Réponses et déclarations de la société sur les finalités du cookie
• Procès-verbal d’huissier constatant la mise à jour du bandeau
• Études produites sur l’effet d’un bouton « Tout refuser »

La société doit recueillir le consentement avant tout dépôt ou accès destiné à la lutte contre la fraude publicitaire et maintenir un refus aussi simple que l’acceptation. Elle supporte une amende de 60 millions d’euros, une injonction sous astreinte et la publicité temporairement anonymisée de la sanction.

• Exclusion du dépôt anticipé du cookie pour la fraude publicitaire
• Consentement préalable à recueillir auprès des utilisateurs français
• Bouton de refus accessible au même niveau que l’acceptation
• Justificatifs de mise en conformité à transmettre sous trois mois
• Astreinte de 60 000 euros par jour de retard
• Publication de la décision pendant deux ans avec identification

À faire

• Identifier chaque finalité associée aux cookies déposés
• Bloquer les cookies non nécessaires avant le consentement
• Afficher « Tout accepter » et « Tout refuser » au même niveau
• Rédiger des intitulés explicites sur les conséquences du choix
• Conserver les preuves des contrôles et mises en conformité

À éviter

• Déposer un cookie publicitaire avant toute action
• Regrouper des finalités nécessaires et non nécessaires sans distinction
• Masquer le refus derrière plusieurs écrans ou clics
• Utiliser des boutons ambigus comme « Plus d’options »
• Attendre une procédure de sanction pour corriger le dispositif

La compétence territoriale de la CNIL pour les traceurs transfrontaliers

La CNIL peut contrôler les opérations d’accès ou d’inscription d’informations dans les terminaux d’utilisateurs situés en France, même lorsque le traitement est transfrontalier. Le mécanisme de guichet unique de l’article 56 du RGPD ne s’applique pas au contrôle des obligations issues de la directive ePrivacy. L’article 3 de la loi Informatique et Libertés est applicable lorsque le traitement est effectué dans le cadre des activités d’un établissement français.

Le consentement préalable au dépôt des cookies non nécessaires

L’article 82 de la loi Informatique et Libertés impose le consentement préalable, sauf opération exclusivement destinée à la communication électronique ou strictement nécessaire à un service expressément demandé. Le cookie multi-finalités était aussi utilisé pour la fraude publicitaire et la publicité contextuelle. Ces finalités ne relevaient pas des exemptions, de sorte que son dépôt avant toute action nécessitait le consentement de l’utilisateur.

L’égalité de simplicité entre acceptation et refus

Le consentement n’est pas libre lorsque le refus est plus complexe que l’acceptation. La CNIL a retenu l’absence de bouton « Tout refuser » au premier niveau, l’ambiguïté des intitulés et le parcours imposant plusieurs actions. Ces éléments incitaient l’utilisateur à accepter les cookies et caractérisaient un manquement à l’article 82, malgré l’absence de dépôt dans certaines hypothèses.

Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 4, paragraphe 7, du RGPD, Article 56 du RGPD, Article 83 du RGPD, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40, III, du décret n° 2019-536 du 29 mai 2019