Cookies : sanction de 60 millions d’euros à l’encontre de FACEBOOK IRELAND LIMITED

Le manquement à la loi Informatique et Libertés

La CNIL a reçu plusieurs plaintes dénonçant les modalités de refus des cookies sur le site web facebook.com.

En avril 2021, elle a effectué un contrôle en ligne sur ce site et a constaté que, s’il propose un bouton permettant d’accepter immédiatement les cookies, il ne propose pas de solution équivalente (bouton ou autre) pour permettre à l’internaute de refuser aussi facilement le dépôt des cookies. Plusieurs clics sont nécessaires pour refuser tous les cookies, contre un seul pour les accepter. La CNIL a également constaté que le bouton permettant de refuser les cookies se situe en bas de la seconde fenêtre et s’intitule « Accepter les cookies ».

La formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a relevé que rendre le mécanisme de refus plus complexe revient, en réalité, à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton de consentement aux cookies figurant dans la première fenêtre. Elle a considéré qu’un tel procédé portait atteinte à la liberté du consentement des internautes.

La formation restreinte a également considéré que le parcours informationnel mis en œuvre par la société n’est pas clair puisque, pour refuser le dépôt de cookies, les internautes doivent cliquer sur un bouton intitulé « Accepter les cookies » figurant dans la seconde fenêtre. Elle a estimé qu’un tel intitulé génère nécessairement de la confusion et que l’utilisateur peut avoir le sentiment qu’il n’est pas possible de refuser le dépôt de cookies et qu’il ne dispose pas de modalités de contrôle à cet égard.

La formation restreinte a considéré que les modalités de recueil de consentement qui sont proposées aux utilisateurs ainsi que l’absence de clarté de l’information qui leur est fournie constituent des violations de l’article 82 de la loi Informatique et Libertés.

Les sanctions

La formation restreinte a sanctionné la société FACEBOOK IRELAND LIMITED d’une amende de 60 millions d’euros, rendue publique.

Elle a justifié ce montant par la portée du traitement, par le nombre de personnes concernées et par les bénéfices considérables que la société tire des revenus publicitaires indirectement générés à partir des données collectées par les cookies.

En complément de l’amende administrative, la formation restreinte a également adopté une injonction sous astreinte afin que la société mette à disposition des internautes situés en France, dans un délai de 3 mois à compter de la notification de la décision, un moyen permettant de refuser les cookies aussi simplement que celui existant pour les accepter, afin de garantir la liberté de leur consentement. Dans le cas contraire, la société s’exposera au paiement d’une astreinte de 100 000 euros par jour de retard.

Une compétence de la CNIL

La CNIL est matériellement compétente pour contrôler et sanctionner les opérations liées aux cookies déposés par la société sur les terminaux des internautes situés en France. Le mécanisme de coopération prévu par le RGPD (mécanisme de « guichet unique ») n’a pas vocation à s’appliquer dans ces procédures dans la mesure où les opérations liées à l’utilisation des cookies relèvent de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés. 

La formation restreinte a considéré que la CNIL est également territorialement compétente en application de l’article 3 de la loi Informatique et Libertés car le recours aux cookies est effectué dans le « cadre des activités » de la société FACEBOOK FRANCE qui constitue « l’établissement » sur le territoire français du groupe Facebook.

Note : La société FACEBOOK IRELAND LIMITED, dont le siège est en Irlande, se présente comme le responsable de traitement du service Facebook dans la région européenne. La société FACEBOOK FRANCE est l’établissement en France du groupe Facebook.