Cookies déposés sans consentement : compétence de la CNIL et sanctions administratives

La CNIL se reconnaît compétente pour contrôler et sanctionner, sur le fondement de l’article 82 de la loi informatique et libertés, les opérations de lecture ou d’écriture de cookies relevant de la directive ePrivacy. Le mécanisme de guichet unique du RGPD ne s’applique pas aux obligations spécifiques de cette directive, qui disposent d’un régime propre de contrôle et de sanction.

La compétence territoriale française résulte de l’article 3, paragraphe I, de la loi informatique et libertés lorsque le traitement est effectué dans le cadre des activités d’un établissement situé en France. Une société du groupe assurant la promotion et la commercialisation des services publicitaires peut constituer cet établissement, même si le responsable du traitement est établi à l’étranger.

L’article 20 de la loi informatique et libertés n’impose pas de mise en demeure préalable avant l’engagement d’une procédure de sanction. Le manquement est caractérisé par le dépôt automatique de cookies sans information préalable claire et complète, sans consentement préalable et avec un mécanisme d’opposition partiellement défaillant.

Le montant des amendes s’apprécie au regard des critères de l’article 83, paragraphe 2, du RGPD, notamment la gravité, la portée du traitement et les avantages financiers procurés. La coopération ne constitue une circonstance atténuante que si elle dépasse les obligations ordinaires de collaboration prévues par l’article 18 de la loi informatique et libertés. Une injonction peut être assortie d’une astreinte proportionnée à la gravité du manquement et aux capacités financières du responsable.

⬇️Télécharger la décision version officielle

La CNIL a constaté le dépôt automatique de plusieurs cookies sur le site français du groupe, sans information préalable complète ni consentement. Les sociétés ont contesté la compétence de la CNIL, l’absence de mise en demeure et la légalité de la sanction. La formation restreinte a retenu des manquements relatifs à l’information, au consentement et au mécanisme d’opposition.

La société X, établie aux États-Unis, exploite notamment un moteur de recherche et des services publicitaires. La société Y, établie en Irlande, assure les activités européennes du groupe. La société Z SARL constitue l’établissement français et participe à la promotion des services et solutions publicitaires du groupe en France.

Lors d’un contrôle en ligne réalisé sur le site […].fr, la CNIL a constaté que plusieurs cookies étaient déposés automatiquement sur le terminal des utilisateurs dès leur arrivée, sans action de leur part. Les sociétés ont été interrogées sur les finalités de ces cookies et sur la répartition des responsabilités entre les entités du groupe.

Après audition, échanges écrits et séance contradictoire, le rapporteur a proposé des amendes, une injonction de mise en conformité et une astreinte. Les sociétés ont contesté la compétence de la CNIL, l’absence de mise en demeure préalable, la légalité de la sanction et son montant. La formation restreinte a retenu des manquements tenant à l’absence d’information préalable complète, au défaut de consentement préalable et à l’insuffisance du mécanisme d’opposition.

• Traitement relevant matériellement des obligations spécifiques de la directive ePrivacy
• Dépôt ou lecture d’informations sur les terminaux d’utilisateurs en France
• Existence d’un établissement français exerçant des activités liées au traitement
• Information préalable claire et complète sur les finalités des cookies
• Recueil préalable du consentement pour les cookies concernés
• Mécanisme de refus ou retrait du consentement facilement accessible
• Appréciation de la sanction selon la gravité, la portée et les avantages financiers

• Constat du contrôle en ligne du dépôt automatique des cookies
• Procès-verbal dressé par la délégation de la CNIL
• Audition et procès-verbal signé par les représentants présents
• Contrat de sous-traitance produit pendant l’instruction
• Communications et sites internet décrivant les activités publicitaires françaises
• Absence de communication des revenus publicitaires français demandés

Les responsables du traitement doivent suspendre tout dépôt de cookies soumis à consentement avant l’information et l’accord de l’utilisateur. Ils doivent également justifier leur mise en conformité dans le délai imparti, sous peine d’une astreinte journalière et d’une publicité de la sanction.n

• Information complète sur les finalités de chaque cookie
• Recueil du consentement avant toute lecture ou écriture concernée
• Mise en place d’un refus et d’un retrait facilement accessibles
• Transmission des justificatifs de conformité dans les trois mois
• Anticipation des amendes selon la portée du traitement et les revenus générés

À faire

• Cartographier les cookies déposés sur chaque parcours utilisateur
• Décrire clairement toutes leurs finalités dans le bandeau
• Bloquer les cookies soumis à consentement avant son recueil
• Permettre un refus aussi simple que l’acceptation
• Conserver les preuves de consentement et de mise en conformité

À éviter

• Déposer automatiquement des cookies dès l’arrivée sur le site
• Présenter une information incomplète sur les finalités
• Rendre le retrait du consentement difficile d’accès
• Refuser de communiquer les données financières demandées
• Attendre une mise en demeure avant de corriger le dispositif

La compétence de la CNIL pour les obligations issues de la directive ePrivacy

nLa directive ePrivacy prévoit un mécanisme spécifique de contrôle et de sanction, notamment à son article 15 bis. Les opérations de lecture ou d’écriture soumises à l’article 82 de la loi informatique et libertés ne relèvent donc pas du mécanisme de guichet unique du RGPD. La CNIL est compétente lorsque ces opérations relèvent de sa compétence matérielle et territoriale.n

Les critères de compétence territoriale française

nL’article 3, paragraphe I, de la loi informatique et libertés s’applique lorsque le traitement est effectué dans le cadre des activités d’un établissement situé en France. Une société du même groupe peut constituer cet établissement si elle exerce effectivement des activités de promotion et de commercialisation liées au service concerné. Le traitement doit présenter un rattachement suffisant avec ces activités françaises.n

Les conditions du manquement relatif aux cookies

nL’article 82 de la loi informatique et libertés impose une information préalable et le recueil du consentement avant le dépôt des cookies soumis à consentement. La formation restreinte a retenu trois défaillances : dépôt automatique, information insuffisante sur les finalités et les moyens de refus, et mécanisme d’opposition partiellement défaillant. Une mise en demeure préalable n’est pas exigée par l’article 20 de la même loi.

Article 82 de la loi n° 78-17 du 6 janvier 1978, Articles 16, 18, 20, 22 et 3 de la loi n° 78-17 du 6 janvier 1978, Article 39 du décret n° 2019-536 du 29 mai 2019, Article 40 du décret n° 2019-536 du 29 mai 2019, Article 6 du règlement (UE) 2016/679, Article 56 du règlement (UE) 2016/679, Article 83 du règlement (UE) 2016/679, Article 94 du règlement (UE) 2016/679, Article 15 bis de la directive 2002/58/CE, Article 5 paragraphe 3 de la directive 2002/58/CE, Article 8 de la Déclaration des droits de l’homme et du citoyen