Cookies déposés sans consentement, la CNIL sanctionne lourdement Amazon et Google

Lundi 7 septembre, la CNIL a sanctionné les sociétés Amazon (35 millions d'euros), Google LLC (60 millions d'euros) et Google Ireland Limited (40 millions d'euros) pour plusieurs manquements constatés dans la gestion des cookies. | Publié le 10 décembre 2020 par Guillaume V

Ce jeudi 10 septembre, la Commission Nationale Informatique et Libertés (CNIL) a publié sur son site Internet les sanctions prises en début de semaine à l'encontre des géants Amazon  et Google

En cause dans les deux affaires : le non-respect par les entreprises du cadre légal français (et européen) d'utilisation des cookies et traceurs sur Internet. 


A noter que dans les deux affaires la CNIL préfère se fonder sur la Loi Informatique et Libertés (notamment son article 82) et la Directive E-privacy plutôt que sur le Règlement Général sur la Protection des Données (RGPD) afin d'être territorialement compétente en la matière. 


AMAZON


Amazon est sanctionné par la formation restreinte de la CNIL à hauteur de 35 millions d'euros, après des contrôles sur Internet puis sur place, pour deux manquements à la Loi Informatique et Libertés (qui sont aussi des manquements à la directive E-privacy, transposée dans la Loi Informatique et Libertés, et au RGPD). 


  • Le défaut d'information des utilisateurs

La CNIL a remarqué que les informations fournies par le bandeau cookies du site français d'Amazon étaient incomplètes : il était trop général (aucune indication concernant les finalités du traitement des cookies) et ne donnait aucune précision aux utilisateurs sur les moyens de s'opposer aux cookies. 

Ce défaut était encore plus prononcé dans le cas où un utilisateur accédait au site français d'Amazon après avoir cliqué sur une annonce publicitaire d'un autre site puisque à ce moment là, le bandeau cookies n'apparaît même pas. 


  • Le défaut de récolte du consentement

La CNIL a noté que les cookies étaient installés directement lorsque l'utilisateur se rendait sur le site français d'Amazon, avant même que celui-ci ne soit en mesure de donner son consentement (le bandeau cookies ne permettaient par ailleurs pas à l'utilisateur de donner son consentement libre et éclairé). 


GOOGLE


Google est sanctionné par la formation restreinte de la CNIL à hauteur de 100 millions d'euros (au total), après des contrôles en ligne, pour plusieurs manquements à la Loi Informatique et Libertés (qui sont tout autant des manquements à la directive E-privacy, transposée dans la Loi Informatique et Libertés, et au RGPD). 


  • Dépôt des cookies sans consentement préalable

Il est obligatoire de recueillir le consentement de l'utilisateur avant de déposer sur son terminal (téléphone, ordinateur, tablette, ...) des cookies ou traceurs dès lors que ceux-ci ne sont pas nécessaires à la fourniture du service poursuivi. 

Lors d'une connexion au moteur de recherche google.fr, ce dernier déposait automatiquement sur le terminal de l'utilisateur des cookies de nature publicitaires, n'étant donc pas strictement nécessaires à la fourniture du service de recherche sur Internet. 


  • Le défaut d'information des utilisateurs

Comme pour Amazon, l'un des manquements constatés par la CNIL est un défaut dans l'information des utilisateurs quant aux cookies : le bandeau ne prévoit pas de modalités d'acceptation ou de refus des cookies, ni n'informe les utilisateurs des cookies déjà déposés. 


  • La défaillance du mécanisme d'opposition

Le dernier manquement constaté concerne le mécanisme de désactivation des cookies installés. 

En effet, même si l'utilisateur, plutôt que de s'arrêter au pavé de Google l'informant de l'existence des cookies, décidait d'aller plus loin en cliquant sur les liens mis à sa disposition et désactivait certains cookies, il semble qu'un cookie résistait inexorablement et continuait donc de récolter des informations malgré l'opposition de l'utilisation. 


UN MONTANT HISTORIQUE


Ces nouvelles sanctions de la CNIL dépassent l'ancien montant record, aussi prononcé à l'encontre de Google, de 50 millions d'euros pour un défaut dans les informations qu'il fournissait aux utilisateurs. 


LES DELIBERATIONS DE LA CNIL EN MATIERE DE COOKIES


Pour rappel, le cadre légal français des cookies et autres traceurs est fondé sur la directive E-privacy, transposée en droit français dans la Loi Informatique et Libertés, mais aussi sur le RGPD et les diverses recommandations et lignes directrices de la CNIL en la matière, dont les dernières en date ont été adoptées le 17 septembre 2020

L'Union européenne prévoit un règlement applicable sur l'Intelligence Artificielle semblable au RGPD. | 30 avril 2021
Publié le jeudi 15 avril, le nouveau rapport d'activité édité par Cybermalveillance.gouv.fr comporte de grandes parties sur les nouveaux services publiques, les chiffres de l'assistance … | 20 avril 2021
En ce début d'avril, le Conseil de l'Economie et de l'Information du Digital (CEIDIG) communique le guide "L'essentiel de la sécurité numérique pour les dirigeantes … | 12 avril 2021