Cookies : validation par la CNIL d’un refus aussi simple que l’acceptation

La procédure de vérification complémentaire est conduite sur le fondement des articles 39 et 44 du décret n° 2019-536 du 29 mai 2019. La formation restreinte apprécie concrètement l’effectivité du dispositif au regard des modalités effectivement proposées aux utilisateurs.

La mise en conformité ayant été réalisée dans le délai imparti, aucune liquidation de l’astreinte n’est prononcée. La décision est rendue publique, conformément à la publicité de l’injonction initiale. La décision rappelle ainsi que la transmission de justificatifs ne suffit pas : la conformité doit pouvoir être vérifiée sur le service effectivement accessible en ligne.

⬇️Télécharger la décision version officielle

La société a transmis des éléments de conformité les 1er février et 1er avril 2022. À la suite d’une nouvelle instruction, un contrôle en ligne réalisé le 12 avril 2022 a permis de vérifier le fonctionnement du site et la présence d’un cookie supplémentaire. La société a ensuite fourni les explications demandées sur ce cookie.

Après analyse des modalités proposées, la formation restreinte a considéré que l’injonction avait été exécutée dans le délai imparti. Elle n’a donc pas liquidé l’astreinte, tout en décidant de publier sa délibération.

• Proposer un mécanisme de refus des opérations sur le terminal
• Garantir une simplicité équivalente entre refus et acceptation
• Permettre la vérification effective du dispositif sur le site
• Transmettre les justificatifs de mise en conformité dans le délai
• Répondre aux demandes complémentaires de la rapporteure
• Exécuter l’injonction avant le déclenchement de l’astreinte

• Éléments de conformité transmis les 1er février et 1er avril 2022
• Contrôle en ligne réalisé par une délégation de la CNIL
• Analyse des modalités de refus proposées sur le site
• Constat de la présence du cookie « oo »
• Réponse documentée de la société sur la finalité du cookie

• Absence de liquidation de l’astreinte journalière
• Validation du mécanisme de refus proposé aux utilisateurs
• Maintien de la publication de la délibération
• Possibilité de contrôles techniques complémentaires
• Nécessité de documenter la finalité des cookies déployés

À faire

• Rendre le refus aussi simple que l’acceptation
• Tester le parcours utilisateur directement sur le site
• Conserver les justificatifs de déploiement du dispositif
• Documenter la finalité de chaque cookie nouvellement déposé
• Répondre précisément aux demandes de vérification de la CNIL

À éviter

• Complexifier l’accès au refus des opérations
• Se limiter à produire des justificatifs théoriques
• Déployer un cookie sans documentation de sa finalité
• Ignorer un contrôle en ligne complémentaire
• Dépasser le délai d’exécution de l’injonction

La simplicité équivalente des mécanismes d’acceptation et de refus

La société devait offrir aux utilisateurs un moyen de refuser les opérations de lecture ou d’écriture d’informations dans leur terminal présentant une simplicité équivalente au mécanisme d’acceptation. Après analyse des modalités déployées sur le site, la formation restreinte a constaté que cette exigence était satisfaite.

La vérification complémentaire de l’exécution d’une injonction

Sur le fondement des articles 39 et 44 du décret n° 2019-536 du 29 mai 2019, la rapporteure a procédé à des vérifications complémentaires, comprenant un contrôle en ligne du site. La CNIL a ainsi apprécié l’effectivité du mécanisme au-delà des seuls justificatifs transmis.

La liquidation de l’astreinte conditionnée au retard d’exécution

L’injonction était assortie d’une astreinte de 100 000 euros par jour de retard après trois mois. La conformité ayant été satisfaite dans le délai imparti, la formation restreinte a décidé qu’il n’y avait pas lieu à liquidation d’astreinte.