Compétence de la CNIL et consentement préalable au dépôt de cookies

La CNIL est compétente pour contrôler et sanctionner les opérations de lecture et d’écriture de cookies relevant de l’article 82 de la loi du 6 janvier 1978. Ces opérations relèvent du mécanisme spécial de la directive 2002/58/CE, et non du mécanisme de guichet unique prévu par le RGPD. L’utilisation ultérieure des données collectées peut, en revanche, relever du RGPD.

L’article 82 impose une information claire et complète sur les finalités des cookies et les moyens de s’y opposer, ainsi qu’un consentement préalable. Le dépôt de cookies avant toute action de l’utilisateur, y compris lorsque celui-ci accède à une page depuis un lien publicitaire, caractérise le manquement. Un simple lien d’information en pied de page ne suffit pas lorsque les cookies sont déjà déposés.

La mise en conformité postérieure aux contrôles n’empêche pas le prononcé d’une amende sanctionnant les faits constatés. Pour fixer celle-ci, la formation restreinte applique l’article 20 de la loi du 6 janvier 1978 et tient compte des critères de l’article 83 du RGPD, notamment la gravité, la portée, le nombre de personnes concernées, l’avantage financier et le chiffre d’affaires. Une injonction peut être assortie d’une astreinte, lorsque l’information demeure incomplète.

⬇️Télécharger la décision version officielle

Des cookies étaient déposés avant le consentement des utilisateurs, sans information claire et complète sur leurs finalités ni sur les moyens de s’y opposer. Les modifications apportées pendant la procédure ne décrivaient pas suffisamment les finalités publicitaires. La CNIL a prononcé une amende, une injonction de mise en conformité sous astreinte et une mesure de publicité.

La société X, société luxembourgeoise appartenant au groupe Z, exploitait un site marchand accessible en France. La CNIL a réalisé plusieurs contrôles en ligne ainsi qu’un contrôle dans les locaux de la société Y, établissement français du groupe, afin d’examiner les opérations de dépôt et de lecture de cookies sur les terminaux d’internautes situés en France.

La procédure contradictoire a été engagée après désignation d’un rapporteur. La société a présenté plusieurs observations écrites et orales et demandé la tenue de la séance à huis clos ainsi que son report.

La formation restreinte a constaté que des cookies étaient déposés avant le consentement des utilisateurs et sans information claire et complète sur leurs finalités et les moyens de s’y opposer. Elle a également relevé que le dispositif modifié en cours de procédure ne décrivait pas suffisamment les finalités publicitaires. Une amende administrative, une injonction de mise en conformité assortie d’une astreinte et une mesure de publicité ont été prononcées.

• Opérations de lecture ou d’écriture sur les terminaux d’utilisateurs en France
• Rattachement du traitement aux activités d’un établissement français
• Dépôt de cookies avant l’expression du consentement
• Absence d’information claire et complète sur les finalités
• Absence d’information préalable sur les moyens d’opposition
• Appréciation de la gravité, de la portée et du nombre de personnes concernées
• Information modifiée demeurant insuffisamment précise

• Trois contrôles en ligne du site réalisés par la CNIL
• Constat du dépôt de cookies avant toute action de l’utilisateur
• Contenu des bandeaux et liens d’information affichés sur le site
• Données communiquées sur les identifiants attribués en France
• Chiffre d’affaires mondial et portée des traitements publicitaires

La société responsable du traitement doit interrompre tout dépôt préalable et revoir l’information fournie aux utilisateurs. La société Y, établissement français destinataire de la décision, doit contribuer à son exécution ; le non-respect de l’injonction expose la société à l’astreinte.

• Information préalable sur chaque finalité des cookies
• Recueil du consentement avant toute lecture ou écriture
• Présentation de moyens d’opposition facilement accessibles
• Transmission des justificatifs de mise en conformité
• Exposition à une astreinte de 100 000 euros par jour

À faire

• Bloquer les cookies avant tout consentement
• Détailler chaque finalité dans le bandeau
• Présenter clairement les moyens de refus
• Vérifier tous les parcours d’accès au site
• Conserver les preuves de conformité et les transmettre

À éviter

• Déposer des cookies dès l’arrivée sur le site
• Utiliser un simple lien en pied de page
• Regrouper des finalités publicitaires imprécises
• Confondre consentement et poursuite de navigation
• Négliger les modifications demandées par injonction

La compétence nationale pour les opérations régies par l’article 82

La formation restreinte distingue les opérations de lecture et d’écriture sur le terminal, régies par l’article 82 de la loi du 6 janvier 1978, de l’utilisation ultérieure des données, susceptible de relever du RGPD. Le mécanisme de guichet unique du RGPD ne s’applique pas au contrôle des obligations spécifiques issues de la directive ePrivacy. La CNIL est donc compétente pour contrôler et sanctionner ces opérations lorsqu’elles se rattachent à sa compétence territoriale.

Le consentement préalable et l’information des utilisateurs

L’article 82 exige une information claire et complète sur les finalités des cookies et les moyens de s’y opposer. Le consentement doit être recueilli avant tout accès ou inscription. Le dépôt préalable de cookies, notamment avant toute action de l’utilisateur, caractérise le manquement. Un lien placé en pied de page ne constitue pas une information préalable satisfaisante lorsque les cookies ont déjà été déposés.

Les critères de l’amende et de l’injonction

Sur le fondement de l’article 20 de la loi du 6 janvier 1978 et des critères de l’article 83 du RGPD, la formation prend en compte la gravité, la portée, le nombre de personnes concernées, l’avantage financier et le chiffre d’affaires. Une mise en conformité ultérieure n’efface pas les faits constatés. L’information restant incomplète, l’injonction est assortie d’une astreinte journalière.

Convention n° 108 du Conseil de l’Europe, Article 5(3) de la directive 2002/58/CE, Article 15 bis de la directive 2002/58/CE, Article 56 du TFUE, Article 1er, paragraphe 2, de la directive 2002/58/CE, Article 94 du RGPD, Article 3 de la loi n° 78-17 du 6 janvier 1978, Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 82 de la loi n° 78-17 du 6 janvier 1978, Article 83 du RGPD, Article 9 du RGPD, Articles 25 et 32 du RGPD, Article 58, paragraphe 2, du RGPD, Articles 40 et 42 du RGPD, Article 40, alinéa 4, du décret n° 2019-536 du 29 mai 2019