Sanctions de la Cnil contre Google et Amazon

Plus exactement, la Cnil considère que les cookies ne peuvent être déposés sur les terminaux des utilisateurs de ces deux sites qu’après que ceux-ci aient été informés des finalités précises de tous les cookies dont l’inscription est soumise au consentement et des moyens dont ils disposent pour les refuser.

Cette information doit être donnée au préalable et de manière claire et complète lors de la première arrivée de l’internaute et cela quelle que soit la première page accédée.

Or, la Cnil a relevé que, quel que soit le chemin emprunté par l’internaute se rendant sur ces sites, celui-ci était, soit insuffisamment informé, soit jamais informé du dépôt de cookies sur son ordinateur, et, a fortiori, ignorait le droit qu’il avait le droit de s’opposer à ces traceurs.

Si tant Amazon Europe Core, que Google LLC et Google Ireland Limited considéraient avoir mis en place les moyens techniques permettant de respecter les dispositions protectrices des données de leurs utilisateurs, la Cnil a considéré que ces efforts n’étaient pas suffisants.

Toutefois, il est à noter que, dans chacune de ces décisions, la Cnil fournit aux sociétés sanctionnées des recommandations permettant de se conformer aux dispositions relatives aux cookies en mettant en place un mécanisme de recueil de consentement en deux étapes :

• première étape : l’internaute doit être informé par l’apparition d’un bandeau sur la première page de connexion des finalités précises des cookies utilisés et de la possibilité de s’opposer à ces cookies en cliquant sur un lien présent dans le bandeau.
• seconde étape : les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des cookies.

En effet, si les lignes directrices émises par la Cnil sont dépourvues de valeur impérative, elles apportent un éclairage utile aux responsables de traitement en les renseignant sur les attentes de l’autorité de contrôle.

Ces géants du Net ont désormais trois mois pour se mettre en conformité avec les dispositions de l’article 82 de la loi Informatique et Libertés sous peine de l’application d’une astreinte de 100 000 euros par jour de retard.

Co-écrit par Pierre-Emmanuel Frogé