L’essentiel
L’article 82 impose une information claire et complète ainsi qu’un consentement préalable. Éclairé par l’article 4, paragraphe 11, et le considérant 42 du RGPD, ce consentement doit être libre et reposer sur une véritable liberté de choix. Le parcours de refus doit donc présenter un degré de simplicité équivalent à celui de l’acceptation. Une interface imposant plusieurs étapes, utilisant des intitulés ambigus ou conduisant l’utilisateur à cliquer sur un bouton d’acceptation pour refuser les cookies méconnaît cette exigence.
Sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD, la CNIL peut prononcer une amende, une injonction et une astreinte. Elle retient notamment la gravité, la portée du traitement, le nombre de personnes concernées et les avantages financiers procurés par le manquement. Une amende de 60 millions d’euros et une astreinte de 100 000 euros par jour ont été jugées justifiées.
En résumé
- Amende administrative de 60 millions d’euros pour manquement à l’article 82.
- Refus des cookies plus complexe que leur acceptation.
- Contrôle CNIL fondé sur le régime spécial de la directive ePrivacy.
- Interface modifiée toujours non conforme pour les utilisateurs concernés.
- Injonction assortie d’une astreinte de 100 000 euros par jour.
Contexte de l’affaire
Le contrôle a porté sur le parcours proposé aux utilisateurs résidant en France. Pour refuser les cookies publicitaires, ceux-ci devaient ouvrir des paramètres, parcourir une seconde fenêtre puis cliquer sur un bouton intitulé « Accepter les cookies ». La CNIL a considéré que cette présentation était contre-intuitive et rendait le refus plus difficile que l’acceptation.
Après la procédure contradictoire, la société a produit des captures d’écran d’une interface modifiée. La CNIL a constaté que cette mise à jour, limitée aux utilisateurs connectés, ne permettait toujours pas un refus aussi simple que l’acceptation. Elle a retenu un manquement à l’article 82 de la loi Informatique et Libertés, prononcé une amende de 60 millions d’euros, une injonction assortie d’une astreinte et la publicité de la décision.
Conditions / critères (ce que le juge vérifie)
- Opérations de lecture ou d’écriture dans le terminal d’utilisateurs situés en France.
- Traitement rattaché aux activités d’un établissement situé sur le territoire français.
- Information claire et complète sur les moyens de refus.
- Consentement préalable, libre et univoque de l’utilisateur.
- Refus présenté avec une simplicité équivalente à celle de l’acceptation.
- Appréciation de la gravité, de la portée et du nombre de personnes concernées.
- Prise en compte des avantages financiers procurés par le manquement.
Preuves retenues (ce qui a fait pencher la décision)
- Constatations du contrôle en ligne réalisé le 8 avril 2021.
- Parcours de refus observé sur la page d’accueil du site.
- Réponses des sociétés confirmant la responsabilité du traitement.
- Captures d’écran de l’interface modifiée communiquées en décembre 2021.
- Données financières et volumétrie d’utilisateurs produites pendant la procédure.
Conséquences pratiques
- Modification obligatoire du parcours de consentement en France
- Transmission des justificatifs de conformité dans le délai imparti
- Risque d’astreinte de 100 000 euros par jour de retard
- Exposition à une amende fondée sur la gravité et les bénéfices
- Publicité de la décision pendant deux ans
Checklist pour Avocats
À faire
- Présenter immédiatement les options d’acceptation et de refus.
- Employer des intitulés explicites pour chaque choix.
- Vérifier le parcours sur utilisateurs connectés et non connectés.
- Documenter les tests et conserver les captures d’écran.
- Transmettre les justificatifs de conformité dans les trois mois.
À éviter
- Masquer le refus derrière plusieurs fenêtres successives.
- Utiliser un bouton d’acceptation pour formaliser un refus.
- Présenter un bouton ambigu comme « Autres options ».
- Déployer la correction uniquement pour une catégorie d’utilisateurs.
- Négliger l’impact financier et la portée du traçage publicitaire.
FAQ / Q-R juridiques
La compétence de la CNIL pour les opérations relevant de la directive ePrivacy
La CNIL est compétente pour contrôler et sanctionner les opérations de lecture ou d’écriture d’informations dans les terminaux situés en France, sur le fondement de l’article 82 de la loi Informatique et Libertés. Ces opérations relèvent du régime spécial de l’article 5, paragraphe 3, de la directive ePrivacy. Le mécanisme de guichet unique du RGPD ne s’applique pas à ce contrôle, qui ne porte pas sur les traitements ultérieurs des données.
La liberté du consentement aux cookies
L’article 82 exige un consentement préalable, éclairé par les exigences du RGPD relatives au consentement libre et univoque. Le refus doit être proposé avec un degré de simplicité équivalent à l’acceptation. Une interface reposant sur des intitulés ambigus, plusieurs étapes et un bouton d’acceptation pour refuser les cookies ne garantit pas une véritable liberté de choix.
Les mesures correctrices fondées sur les articles 20 et 83
La CNIL peut prononcer une amende, une injonction et une astreinte en application de l’article 20 de la loi du 6 janvier 1978. Le montant de l’amende est apprécié selon les critères de l’article 83 du RGPD, notamment la gravité, la portée du traitement, le nombre de personnes concernées et les avantages financiers tirés du manquement.
Textes cités
RGPD & protection des données
Approfondir ce sujet :