La CNIL sanctionne les sociétés Google LLC et Google Ireland Limited d’un montant total de 100 millions d’euros d’amende, surtout pour avoir déposé des cookies publicitaires sur les ordinateurs d’utilisateurs du moteur de recherche google.fr sans consentement préalable ni information satisfaisante.
Amazon sanctionné pour des raisons similaires
Amazon Europe Core, la maison mère du site Amazon.fr, est sanctionné de 35 millions d’euros d’amende pour les mêmes raisons, c’est-à-dire pour avoir déposé des cookies publicitaires sur les ordinateurs d’utilisateurs à partir du site amazon.fr sans consentement préalable et sans information satisfaisante.
En ce qui concerne Google, le 16 mars 2020, la Cnil a effectué un contrôle en ligne sur google.fr qui a montré que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient automatiquement déposés sur son ordinateur, sans action de sa part. Plusieurs de ces cookies poursuivaient un objectif publicitaire. Ce type de cookies ne peut être déposé sans que l’utilisateur ait exprimé son consentement. La Cnil a considéré que Google ne respecte pas l’article 82 de la loi Informatique et Liberté qui exige le recueil préalable du consentement avant le dépôt de cookies non essentiels au service.
Absence d’informations sur le dépôt de cookies
Côté information de l’internaute, Google ne respectait pas non plus la loi. Lorsqu’un utilisateur se rendait sur la page google.fr, un bandeau d’information s’affichait en pied de page, portant la mention suivante « Rappel concernant les règles de confidentialité de Google » en face de laquelle figuraient deux boutons intitulés « Me le rappeler plus tard » et « Consulter maintenant ». Ce bandeau ne fournissait aucune information relative aux cookies qui avaient pourtant déjà été déposés sur l’ordinateur de l’utilisateur, dès son arrivée sur le site. Cette information ne lui était pas non plus fournie lorsqu’il cliquait sur le bouton « Consulter maintenant ».
La Cnil a donc estimé que l’information fournie par Google ne permettait pas d’être préalablement et clairement renseigné quant au dépôt de cookies ni, par conséquent, des objectifs de ces cookies et des moyens pour les refuser.
Mécanisme d’opposition partiellement inopérant
De plus, lorsqu’un utilisateur désactivait la personnalisation des annonces sur la recherche Google en recourant au mécanisme mis à sa disposition à partir du bouton « Consulter maintenant », un des cookies publicitaires demeurait stocké sur son ordinateur et continuait de lire des informations à destination du serveur auquel il est rattaché. La Cnil a donc estimé que le mécanisme d’opposition mis en place par les sociétés était partiellement défaillant, en violation de l’article 82 de la loi Informatique et Libertés.
La Cnil reconnaît que, depuis une mise à jour de septembre 2020, Google cesse de déposer automatiquement les cookies publicitaires dès l’arrivée de l’utilisateur sur la page google.fr. Elle relève néanmoins que le nouveau bandeau d’information lors de l’arrivée sur la page google.fr ne permet toujours pas de comprendre les finalités pour lesquelles les cookies sont utilisés et n’informe pas du fait que l’on peut refuser ces cookies.
Injonction de mieux informer les internautes sous 3 mois
Dès lors, en complément des amendes administratives, la Cnil ordonne que Google procède à une information des personnes conforme à l’article 82 de la loi Informatique et Libertés dans un délai de 3 mois à compter de la notification. Dans le cas contraire, Google s’expose au paiement d’une astreinte de 100 000 € par jour de retard.
En ce qui concerne Amazon, la Cnil a effectué plusieurs contrôles entre le 12 décembre 2019 et le 19 mai 2020 , notamment en ligne, concernant le site amazon.fr. Ces vérifications ont montré que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient automatiquement déposés sur son ordinateur, sans action de sa part. Plusieurs de ces cookies poursuivaient un objectif publicitaire.
De plus, la Cnil a considéré que le bandeau d’information affiché par Amazon, en l’occurrence « En utilisant ce site, vous acceptez notre utilisation de cookies pour offrir et améliorer nos services. En savoir plus », ne contenait qu’une description approximative des finalités de l’ensemble des cookies déposés. L’utilisateur ne pouvait pas comprendre que les cookies déposés sur son ordinateur avaient pour objectif de lui afficher des publicités personnalisées.
Absence d’indication que l’on peut refuser les cookies chez Amazon
Le bandeau n’indiquait pas non plus à l’utilisateur qu’il a le droit de refuser ces cookies. Le manquement d’Amazon à ses obligations était encore plus manifeste dans le cas des utilisateurs qui se rendaient sur le site amazon.fr après avoir cliqué sur une annonce publiée sur un autre site web. Dans ce cas, les mêmes cookies étaient déposés sans aucune information aux internautes.
Jusqu’à la refonte du site amazon.fr, en septembre 2020, Amazon déposait des cookies sur les ordinateurs des internautes sans leur fournir les informations dans des conditions conformes à l’article 82 de la loi Informatique et libertés. Quel que soit le chemin emprunté par l’internaute se rendant sur le site, celui-ci était soit insuffisamment informé voire jamais informé du dépôt de cookies sur son ordinateur. La Cnil considère que dans le cas des utilisateurs accédant au site amazon.fr après avoir cliqué sur une annonce, le dépôt instantané de cookies, combiné à l’absence de toute information, portait particulièrement atteinte aux droits des internautes.
Plus aucun cookie déposé sans consentement chez Amazon
La Cnil a pris acte des récentes évolutions apportées au site amazon.fr et notamment le fait que plus aucun cookie ne soit désormais déposé avant que l’utilisateur n’ait donné son consentement. Elle considère néanmoins que le nouveau bandeau d’information ne permet toujours pas aux internautes de comprendre que les cookies sont utilisés pour leur afficher de la publicité personnalisée et qu’ils peuvent refuser ces cookies.
Dès lors, la Cnil ordonne qu’Amazon procède à une information des personnes conforme à l’article 82 de la loi Informatique et Libertés dans un délai de 3 mois à compter de la notification de la décision. Dans le cas contraire, Amazon s’expose au paiement d’une astreinte de 100 000 € par jour de retard.
