Cookies : information insuffisamment précise et consentement non éclairé sanctionnés par la CNIL

La CNIL retient sa compétence pour contrôler les opérations d’accès ou d’inscription d’informations dans les terminaux d’utilisateurs situés en France, même lorsque les traitements présentent une dimension transfrontalière. Le mécanisme du guichet unique de l’article 56 du RGPD ne s’applique pas aux mesures de contrôle relevant de la directive ePrivacy, transposée à l’article 82 de la loi Informatique et Libertés. La compétence territoriale résulte de l’article 3, paragraphe I, de cette loi, dès lors que le traitement est effectué dans le cadre des activités d’un établissement français.

Les sociétés sont qualifiées de responsables conjoints au sens des articles 4, paragraphe 7, et 26, paragraphe 1, du RGPD, puisqu’elles déterminent conjointement les finalités et les moyens des opérations litigieuses. L’article 82 impose une information claire et complète sur les finalités des cookies et les moyens de s’y opposer, avant tout accès ou inscription, sauf exceptions prévues par ce texte.

La formation restreinte considère que les mentions relatives à l’« amélioration de l’expérience », à l’analyse et au marketing étaient trop générales. La possibilité d’accéder à des informations complémentaires par lien hypertexte ne remédiait pas à l’insuffisance du premier niveau d’information. Jusqu’en septembre 2022, l’interface ne permettait pas non plus d’identifier précisément la finalité de chaque cookie sélectionné.

Deux amendes de 2,5 millions d’euros sont prononcées sur le fondement de l’article 20, paragraphe III, de la loi Informatique et Libertés, en tenant compte des critères de l’article 83 du RGPD. Aucune injonction n’est ordonnée compte tenu des modifications intervenues. La décision est rendue publique en raison de la gravité et de l’ampleur du traitement.

⬇️Télécharger la décision version officielle

Les contrôles ont révélé une information générale sur les finalités liées à l’amélioration de l’expérience, à l’analyse et au marketing, ainsi que l’impossibilité d’identifier précisément la finalité de chaque cookie sélectionné. Malgré la modification du bandeau et des paramètres, la CNIL a retenu un manquement à l’article 82 de la loi Informatique et Libertés et prononcé deux amendes administratives, sans injonction.

Un groupe international exploitait une plateforme de distribution de contenus accessible aux utilisateurs de l’Union européenne et de la France. Deux sociétés du groupe ont indiqué être devenues responsables conjointes des traitements concernant les utilisateurs européens. Des établissements français participaient à la commercialisation d’espaces et d’outils publicitaires liés au service.

La CNIL a réalisé plusieurs contrôles en ligne et sur pièces afin d’examiner le dépôt de cookies et de traceurs sur les terminaux des utilisateurs français. Les contrôles ont porté sur différents parcours : refus, absence de choix, acceptation puis retrait du consentement.

La formation restreinte a relevé que le premier niveau d’information employait des formulations générales concernant l’amélioration de l’expérience, l’analyse et le marketing. Elle a également constaté que l’interface ne permettait pas d’identifier précisément la finalité de chaque cookie sélectionné. Les sociétés ont ensuite modifié leur bandeau et leurs paramètres. La CNIL a néanmoins retenu un manquement à l’article 82 de la loi Informatique et Libertés et prononcé deux amendes administratives, sans injonction.

• Identifier précisément les finalités de chaque opération de lecture ou d’écriture.
• Informer l’utilisateur dès le premier niveau d’information.
• Présenter clairement les moyens de s’opposer aux cookies.
• Permettre un choix éclairé pour chaque cookie ou finalité distincte.
• Établir le rôle conjoint des sociétés dans la détermination des finalités.
• Tenir compte de l’ampleur du traitement et du nombre d’utilisateurs concernés.

• Procès-verbaux des contrôles en ligne de la CNIL.
• Parcours de navigation testant le refus, l’absence de choix et le retrait.
• Contenu du bandeau d’information relatif aux cookies.
• Paramètres de cookies affichant les catégories « analyse » et « marketing ».
• Politique de confidentialité et déclarations reconnaissant la responsabilité conjointe.

Les sociétés responsables conjointes supportent chacune une amende de 2,5 millions d’euros pour insuffisance de l’information sur les cookies. La mise à jour de l’interface a écarté le prononcé d’une injonction, mais la décision demeure publique en raison de l’ampleur du traitement et de la gravité retenue.

• Préciser les finalités dès le premier niveau d’information.
• Distinguer les finalités lorsque plusieurs cookies sont sélectionnables.
• Documenter la répartition des responsabilités conjointes.
• Conserver les preuves des contrôles et des corrections effectuées.
• Anticiper la publicité d’une sanction en cas de traitement massif.

À faire

• Décrire chaque finalité de cookie en termes précis.
• Afficher les informations essentielles dès le premier niveau.
• Permettre un refus aussi accessible que l’acceptation.
• Distinguer les cookies selon leurs finalités propres.
• Tracer les corrections et contrôles de l’interface.

À éviter

• Employer des formules générales comme « améliorer votre expérience ».
• Regrouper analyse et marketing sans explication détaillée.
• Renvoyer toutes les informations utiles à un lien hypertexte.
• Déposer des cookies avant le choix de l’utilisateur.
• Négliger la documentation des rôles de responsables conjoints.

La compétence nationale pour les traitements relevant de la directive ePrivacy

La CNIL est compétente pour contrôler les opérations d’accès ou d’inscription d’informations dans les terminaux d’utilisateurs en France, y compris lorsqu’elles s’inscrivent dans un traitement transfrontalier. Le mécanisme du guichet unique de l’article 56 du RGPD ne s’applique pas au contrôle de la directive ePrivacy. L’article 3, paragraphe I, de la loi Informatique et Libertés est satisfait lorsque le traitement est effectué dans le cadre des activités d’un établissement français.

La responsabilité conjointe des acteurs déterminant les finalités

Les sociétés sont responsables conjointes au sens des articles 4, paragraphe 7, et 26, paragraphe 1, du RGPD dès lors qu’elles déterminent conjointement les finalités et les moyens du traitement. La CNIL s’appuie notamment sur leurs déclarations, leur politique de confidentialité et la confirmation de leurs rôles respectifs.

L’information précise exigée pour le consentement aux cookies

L’article 82 de la loi Informatique et Libertés exige une information claire et complète sur les finalités des cookies et les moyens de s’y opposer. Des mentions générales comme l’amélioration de l’expérience, l’analyse ou le marketing ne suffisent pas. Lorsque l’utilisateur choisit cookie par cookie, chaque finalité doit être identifiable pour permettre un consentement libre et éclairé.

Article 3, paragraphe I, de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 18 de la loi n° 78-17 du 6 janvier 1978, Article 20, paragraphe III, de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 4, paragraphe 7, du RGPD, Article 26, paragraphe 1, du RGPD, Article 56 du RGPD, Article 83 du RGPD, Article 5, paragraphe 3, de la directive 2002/58/CE, Article 15 bis de la directive 2002/58/CE, Article 2 de la directive 2002/58/CE