Source : CNIL du 31 décembre 2021, n°SAN-2021-023, sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED
La Commission nationale de lâinformatique et des libertĂ©s, rĂ©unie en sa formation restreinte composĂ©e de Monsieur Alexandre LINDEN, prĂ©sident, Monsieur Philippe-Pierre CABOURDIN, vice-prĂ©sident, Madame Anne DEBET et Monsieur Alain DRU, membres ;
Vu le rÚglement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractÚre personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractÚre personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative Ă l’informatique, aux fichiers et aux libertĂ©s, notamment ses articles 20 et suivants ;
Vu le dĂ©cret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative Ă l’informatique, aux fichiers et aux libertĂ©s ;
Vu la dĂ©libĂ©ration no 2013-175 du 4 juillet 2013 portant adoption du rĂšglement intĂ©rieur de la Commission nationale de l’informatique et des libertĂ©s ;
Vu la dĂ©cision no 2021-108C du 20 mai 2021 de la prĂ©sidente de la Commission nationale de lâinformatique et des libertĂ©s de charger le secrĂ©taire gĂ©nĂ©ral de procĂ©der ou de faire procĂ©der Ă une mission de vĂ©rification des traitements accessibles depuis les domaines  » google.fr  » et  » youtube.com  » ou portant sur des donnĂ©es Ă caractĂšre personnel collectĂ©es Ă partir de ces derniers ;
Vu la dĂ©cision de la prĂ©sidente de la Commission nationale de lâinformatique et des libertĂ©s portant dĂ©signation dâun rapporteur devant la formation restreinte, en date du 28 juillet 2021 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 2 septembre 2021 ;
Vu les observations écrites versées par les conseils des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 8 octobre 2021 ;
Vu la réponse de la rapporteure à ces observations notifiées le 22 octobre 2021 aux conseils des sociétés ;
Vu les observations écrites versées par les conseils des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED reçues le 12 novembre 2021 ;
Vu les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres piĂšces du dossier ;
Ătaient prĂ©sents, lors de la sĂ©ance de la formation restreinte du 25 novembre 2021 :
– Madame ValĂ©rie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED :
– [âŠ] ;
En qualitĂ© dâinterprĂštes des sociĂ©tĂ©s GOOGLE LLC et GOOGLE IRELAND LIMITED :
– [âŠ] ;
Les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
Au sommaire :
I. Faits et procédure
1. La sociĂ©tĂ© GOOGLE LLC est une sociĂ©tĂ© Ă responsabilitĂ© limitĂ©e ayant son siĂšge social aux Ătats-Unis. Depuis sa crĂ©ation en 1998, elle a dĂ©veloppĂ© de nombreux services Ă destination des particuliers et des entreprises, tels que le moteur de recherche Google Search, la messagerie Ă©lectronique Gmail, le service de cartographie Google Maps ou encore la plateforme de vidĂ©os YouTube. Elle possĂšde plus de 70 bureaux implantĂ©s dans une cinquantaine de pays et emploie plus de 135 000 personnes Ă travers le monde. Depuis aoĂ»t 2015, la sociĂ©tĂ© GOOGLE LLC est une filiale dĂ©tenue Ă 100% par la sociĂ©tĂ© ALPHABET Inc., maison-mĂšre du groupe GOOGLE.
2. En 2020, la sociĂ©tĂ© ALPHABET Inc. a rĂ©alisĂ© un chiffre dâaffaires de plus de 182 milliards de dollars, tandis que la sociĂ©tĂ© GOOGLE LLC a rĂ©alisĂ© un chiffre dâaffaires de [âŠ]de dollars. Le moteur de recherche Google Search a gĂ©nĂ©rĂ© plus de 104 milliards de dollars de revenus, tandis que la publicitĂ© via les services du groupe GOOGLE a gĂ©nĂ©rĂ© des revenus de prĂšs de 147 milliards de dollars et, via les services de YouTube, de prĂšs de 20 milliards.
3. La sociĂ©tĂ© GOOGLE IRELAND LIMITED (ci-aprĂšs la sociĂ©tĂ©  » GIL « ) se prĂ©sente comme Ă©tant le siĂšge du groupe GOOGLE pour ses activitĂ©s dans lâespace Ă©conomique europĂ©en et en Suisse. Ătablie Ă Dublin (Irlande), elle emploie environ [âŠ] personnes. Elle a rĂ©alisĂ© un chiffre dâaffaires de [âŠ] dâeuros en 2019.
4. La sociĂ©tĂ© GOOGLE FRANCE SARL est lâĂ©tablissement français du groupe GOOGLE. Filiale dĂ©tenue Ă 100 % par la sociĂ©tĂ© GOOGLE LLC, son siĂšge social est situĂ© Ă Paris. Elle emploie environ [âŠ] salariĂ©s et a rĂ©alisĂ© un chiffre dâaffaires de [âŠ] dâeuros en 2019.
5. Le 16 mars 2020, dans le cadre dâune prĂ©cĂ©dente procĂ©dure diligentĂ©e Ă lâencontre des sociĂ©tĂ©s GOOGLE LLC et GIL, une dĂ©lĂ©gation de la Commission nationale de lâinformatique et des libertĂ©s (ci-aprĂšs  » la CNIL  » ou  » la Commission « ) a effectuĂ© un contrĂŽle en ligne sur le site web  » google.fr « . Cette mission avait notamment pour objet de vĂ©rifier le respect, par les sociĂ©tĂ©s GOOGLE LLC et GIL, des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiĂ©e relative Ă lâinformatique, aux fichiers et aux libertĂ©s (ci-aprĂšs  » la loi Informatique et LibertĂ©s « ) et notamment de son article 82.
6. En application de lâarticle 22 de la loi  » Informatique et LibertĂ©s « , la prĂ©sidente de la CNIL a dĂ©signĂ© un rapporteur le 8 juin 2020.
7. Par délibération n° SAN-2020-012 du 7 décembre 2020, la formation restreinte a :
– prononcĂ© Ă lâencontre de la sociĂ©tĂ© GOOGLE LLC et de GIL des amendes administratives dâun montant respectif de 60 millions et 40 millions dâeuros pour manquement Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » ;
– prononcĂ© Ă lâencontre des sociĂ©tĂ©s GOOGLE LLC et GIL  » une injonction de mettre en conformitĂ© le traitement avec les obligations rĂ©sultant de lâarticle 82 de la loi  » informatique et libertĂ©s « , en particulier :
– informer les personnes concernĂ©es au prĂ©alable et de maniĂšre claire et complĂšte, par exemple sur le bandeau dâinformation prĂ©sent sur la page dâaccueil du site  » google.fr  » :
– des finalitĂ©s de tous les cookies soumis au consentement,
– des moyens dont elles disposent pour les refuser  » ;
– assorti lâinjonction dâune astreinte de 100 000 euros par jour de retard Ă lâissue dâun dĂ©lai de trois mois suivant la notification de la prĂ©sente dĂ©libĂ©ration ;
– rendu publique, sur le site de la CNIL et sur le site de LĂ©gifrance, sa dĂ©libĂ©ration, qui nâidentifiera plus nommĂ©ment les sociĂ©tĂ©s Ă lâexpiration dâun dĂ©lai de deux ans Ă compter de sa publication.
8. Le 29 janvier 2021, les sociĂ©tĂ©s ont formĂ© un recours en rĂ©fĂ©rĂ© devant le Conseil dâĂtat, sollicitant la suspension de lâinjonction. Cette demande a Ă©tĂ© rejetĂ©e par une dĂ©cision du 4 mars 2021 (CE, juge des rĂ©fĂ©rĂ©s, 4 mars 2021, N° 449212).
9. ParallĂšlement, les sociĂ©tĂ©s ont formĂ© un recours de plein contentieux Ă lâencontre de la dĂ©libĂ©ration du 7 dĂ©cembre 2020. La procĂ©dure est toujours pendante devant le Conseil dâĂtat.
10. Par dĂ©libĂ©ration n° SAN-2021-004 du 30 avril 2021, la formation restreinte a considĂ©rĂ© que les sociĂ©tĂ©s avaient satisfait Ă lâinjonction dans le dĂ©lai imparti, dans la mesure oĂč  » les personnes se rendant sur le site  » google.fr  » sont dĂ©sormais informĂ©es, de maniĂšre claire et complĂšte, de toutes les finalitĂ©s des cookies soumis au consentement et des moyens mis Ă leur disposition pour les refuser, par le biais du bandeau dâinformation sâaffichant Ă leur arrivĂ©e sur le site « .
11. Les 18 mars, 31 mars, 2 avril et 28 avril 2021, la CNIL a été saisie de plusieurs plaintes dénonçant les modalités de refus des cookies des sites internet  » google.fr  » et  » youtube.com  » mis à la disposition des utilisateurs situés en France.
12. En application de la décision n° 2021-108C du 20 mai 2021 de la présidente de la Commission, les services de la CNIL ont procédé à un contrÎle en ligne, le 1er juin 2021, sur les sites web  » google.fr  » et  » youtube.com « .
13. Cette mission avait notamment pour objet de vérifier le respect, par les sociétés GOOGLE LLC et GIL (ci-aprÚs les  » sociétés « ), des dispositions de la loi  » Informatique et Libertés « .
14. Dans le cadre du contrĂŽle en ligne, la dĂ©lĂ©gation a effectuĂ© des constatations lorsque lâutilisateur se rend sur les sites  » google.fr  » et  » youtube.com  » ; lorsquâil clique sur le bouton  » Personnaliser  » ; lorsquâil clique sur le lien  » RĂšgles de confidentialitĂ©  » et lorsquâil clique sur  » Conditions dâutilisation « .
15. Le 3 juin 2021, la dĂ©lĂ©gation a notifiĂ© aux sociĂ©tĂ©s le procĂšs-verbal dressĂ© dans le cadre du contrĂŽle en ligne, en leur demandant dâindiquer, pour chacun des cookies mentionnĂ©s dans ledit procĂšs-verbal, sa finalitĂ© et de fournir une volumĂ©trie du nombre de visiteurs uniques quotidiens pour les sites  » google.fr  » et  » youtube.com  » au cours des douze derniers mois depuis la France.
16. Les 21 juin et 9 juillet 2021, la CNIL a été saisie de deux nouvelles plaintes dénonçant les modalités de refus des cookies du site web  » google.fr « .
17. Par courrier du 9 juillet 2021, la sociĂ©tĂ© GIL a rĂ©pondu Ă la demande de la dĂ©lĂ©gation, indiquant apporter une rĂ©ponse  » sans prĂ©judice de [ses] droits au titre du RGPD, en particulier du mĂ©canisme de guichet unique et du rĂŽle dâautoritĂ© chef de file de la Data Protection Commission irlandaise (âDPCâ) dans le cadre dâenquĂȘtes « . Elle a prĂ©cisĂ© agir en qualitĂ© de responsable du traitement des donnĂ©es Ă caractĂšre personnel sâagissant des cookies dĂ©ployĂ©s sur les domaines  » google.fr  » et  » youtube.com  » pour les utilisateurs situĂ©s au sein de lâespace Ă©conomique europĂ©en et en Suisse. Elle a transmis en outre la finalitĂ© de chacun des cookies dĂ©posĂ©s sur le terminal des utilisateurs et identifiĂ©s dans le procĂšs-verbal de constatations. Elle a en revanche refusĂ© de fournir la volumĂ©trie du nombre de visiteurs uniques de ces deux sites web au cours des douze derniers mois depuis la France, considĂ©rant quâil nâĂ©tait pas nĂ©cessaire de fournir ces informations Ă ce stade.
18. Aux fins dâinstruction de ces Ă©lĂ©ments, la prĂ©sidente de la Commission a dĂ©signĂ© Madame ValĂ©rie PEUGEOT en qualitĂ© de rapporteure, le 28 juillet 2021, sur le fondement de lâarticle 22 de la loi  » Informatique et LibertĂ©s « .
19. Ă lâissue de son instruction, la rapporteure a fait signifier en main propre, le 2 septembre 2021, aux conseils des sociĂ©tĂ©s et par courrier Ă©lectronique Ă leurs reprĂ©sentants, un rapport dĂ©taillant le manquement Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » quâelle estimait constituĂ© en lâespĂšce.
20. Ce rapport proposait Ă la formation restreinte de la Commission de prononcer une amende administrative Ă lâencontre des deux sociĂ©tĂ©s, ainsi quâune injonction de mettre en conformitĂ© le traitement consistant en des opĂ©rations de lecture et/ou dâĂ©criture dâinformations dans le terminal des utilisateurs situĂ©s en France, sur les sites internet  » google.fr  » et  » youtube.com « , avec les dispositions de lâarticle 82 de la loi  » Informatique et LibertĂ©s « , assortie dâune astreinte. Il proposait Ă©galement que cette dĂ©cision soit rendue publique et ne permette plus dâidentifier nommĂ©ment les sociĂ©tĂ©s Ă lâexpiration dâun dĂ©lai de deux ans Ă compter de sa publication.
21. Par courrier du 9 septembre 2021, les sociĂ©tĂ©s, par lâintermĂ©diaire de leurs conseils, ont sollicitĂ© un dĂ©lai supplĂ©mentaire pour fournir leurs observations en rĂ©ponse. Par courrier du 15 septembre 2021, le prĂ©sident de la formation restreinte leur a accordĂ© un dĂ©lai supplĂ©mentaire jusquâau 8 octobre 2021.
22. Par courrier du 27 septembre 2021 adressĂ© au prĂ©sident de la formation restreinte, les sociĂ©tĂ©s, par lâintermĂ©diaire de leurs conseils, ont sollicitĂ© la suspension de la procĂ©dure dans lâattente de la dĂ©cision du Conseil dâĂtat dans le cadre du recours diligentĂ© contre la dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020. Le 30 septembre 2021, les conseils des sociĂ©tĂ©s ont informĂ© le prĂ©sident de la formation restreinte de la crĂ©ation dâun groupe de travail par le ComitĂ© europĂ©en Ă la protection des donnĂ©es (ci-aprĂšs  » le CEPD « ), destinĂ© Ă coordonner la rĂ©ponse aux plaintes relatives aux banniĂšres cookies, dĂ©posĂ©es par lâassociation None of Your Business (ci-aprĂšs  » lâassociation NOYB « ) auprĂšs de diffĂ©rentes autoritĂ©s de protection des donnĂ©es europĂ©ennes.
23. Par courrier du 4 octobre 2021, la président de la formation restreinte a rejeté la demande de suspension de la procédure formulée par les sociétés.
24. Le 8 octobre 2021, les sociétés ont produit des observations en réponse au rapport de sanction.
25. La rapporteure a répondu aux observations des sociétés le 22 octobre 2021.
26. Le 27 octobre 2021, par lâintermĂ©diaire de leurs conseils, les sociĂ©tĂ©s ont formulĂ© une demande dâextension du dĂ©lai de quinze jours prĂ©vu par lâarticle 40 du dĂ©cret n° 2019-536 du 29 mai 2019 pour produire leurs observations en rĂ©ponse, une demande de report de la sĂ©ance de la formation restreinte fixĂ©e au 25 novembre 2021 et une demande pour que la sĂ©ance se tienne Ă huis clos.
27. Le 29 octobre 2021, le président de la formation restreinte a accordé un délai supplémentaire de huit jours aux sociétés pour produire leurs secondes observations et a refusé de reporter la date de la séance de la formation restreinte et de tenir ladite séance à huis clos.
28. Le 12 novembre 2021, les sociétés ont produit de nouvelles observations en réponse à celles de la rapporteure.
29. Les sociétés et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la demande de suspension de la procédure
30. Les sociĂ©tĂ©s sollicitent que la formation restreinte sursoie Ă statuer dans lâattente de la dĂ©cision qui sera rendue par le Conseil dâĂtat dans le cadre du recours formĂ© Ă lâencontre de la dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020 et dans lâattente des conclusions du nouveau groupe de travail du CEPD mentionnĂ© ci-avant. Elles fondent leur demande sur lâarticle 66 du rĂšglement intĂ©rieur de la CNIL et sur le principe de bonne administration de la justice. Les sociĂ©tĂ©s font notamment valoir quâelles demandent au Conseil dâĂtat de se prononcer sur plusieurs moyens qui auront des consĂ©quences directes et dĂ©cisives sur la prĂ©sente procĂ©dure de sanction. Elles soutiennent en particulier devant le Conseil dâĂtat que la CNIL nâĂ©tait pas compĂ©tente pour prononcer des sanctions administratives Ă leur encontre, alors au surplus que le cadre juridique applicable en matiĂšre de cookies nâĂ©tait pas encore consolidĂ© et que les sanctions prononcĂ©es sont manifestement injustifiĂ©es et disproportionnĂ©es.
31. En premier lieu, la formation restreinte observe que lâarticle 66 du rĂšglement intĂ©rieur de la CNIL dispose que  » Les sĂ©ances de la formation restreinte sont prĂ©sidĂ©es par son prĂ©sident ou, en cas dâempĂȘchement, par son vice-prĂ©sident. Le prĂ©sident de sĂ©ance dirige les dĂ©bats et assure la police de la sĂ©ance. Il peut ordonner toute suspension quâil juge utile « . La suspension Ă©voquĂ©e dans le cadre de cet article ne concerne pas la suspension de la procĂ©dure de sanction, mais vise la suspension de la sĂ©ance de la formation restreinte.
32. En deuxiĂšme lieu, les sociĂ©tĂ©s ont dĂ©jĂ fait valoir ces mĂȘmes arguments auprĂšs du prĂ©sident de la formation restreinte dans leur courrier du 27 septembre 2021, lequel a refusĂ© de faire droit Ă la demande de suspension par courrier du 4 octobre, en considĂ©rant que la dĂ©cision dâengager une procĂ©dure de sanction appartient au prĂ©sident de la Commission et quâil nâentre pas dans les pouvoirs du prĂ©sident de la formation restreinte dâen ordonner la suspension. Le prĂ©sident de la formation restreinte rappelait Ă©galement dans ce courrier quâen application de lâarticle L. 4 du code de justice administrative, la requĂȘte en annulation formĂ©e contre la dĂ©libĂ©ration de la formation restreinte du 7 dĂ©cembre 2020 devant le Conseil dâĂtat nâa pas dâeffet suspensif et, quâau surplus, la date Ă laquelle cette juridiction examinera ce dossier nâĂ©tait pas connue. Il ajoutait enfin que la crĂ©ation dâun groupe de travail au sein du CEPD nâĂ©tait pas de nature, en tout Ă©tat de cause, Ă justifier une suspension de la procĂ©dure de sanction.
33. En troisiĂšme lieu, la dĂ©cision du Conseil dâĂtat pourrait ne pas intervenir avant plusieurs mois.
34. En dernier lieu, sâagissant de la crĂ©ation du groupe de travail par le CEPD concernant les bandeaux cookies, la formation restreinte relĂšve que lâissue de ces travaux nâest pas connue Ă ce jour.
35. La formation restreinte considĂšre dĂšs lors quâil nây a pas lieu de surseoir Ă statuer.
B. Sur le grief tiré de la violation du principe non bis in idem
36. Les sociĂ©tĂ©s soutiennent que la formation restreinte ne peut se prononcer une nouvelle fois sur les mĂȘmes faits que ceux concernĂ©s par les dĂ©libĂ©rations n° SAN-2020-012 du 7 dĂ©cembre 2020 et n° SAN-2021-004 du 30 avril 2021, sans violer le principe non bis in idem. Elles font valoir que les parties concernĂ©es par cette procĂ©dure et les prĂ©cĂ©dentes dĂ©libĂ©rations prĂ©citĂ©es sont identiques, que les deux procĂ©dures concernent les mĂȘmes faits et quâune dĂ©cision dĂ©finitive, la dĂ©libĂ©ration n° SAN-2021-004 du 30 avril 2021, est intervenue.
37. En premier lieu, la formation restreinte relĂšve que, dans sa dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, elle a retenu un manquement Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » compte tenu du dĂ©faut dâinformation des personnes, du dĂ©faut de recueil du consentement des personnes avant le dĂ©pĂŽt des cookies sur leur terminal et du caractĂšre partiellement dĂ©faillant du mĂ©canisme  » dâopposition  » mis en place par Google. Elle a Ă©galement prononcĂ© Ă leur encontre une injonction  » de mettre en conformitĂ© le traitement avec les obligations rĂ©sultant de lâarticle 82 de la loi  » informatique et libertĂ©s « , en particulier :
o Informer les personnes concernĂ©es au prĂ©alable et de maniĂšre claire et complĂšte, par exemple sur le bandeau dâinformation prĂ©sent sur la page dâaccueil du site  » google.fr  » :
– des finalitĂ©s de tous les cookies soumis au consentement,
– des moyens dont elles disposent pour les refuser « .
38. La formation restreinte relĂšve ainsi que la premiĂšre procĂ©dure ayant abouti Ă la dĂ©libĂ©ration prĂ©citĂ©e comportait une injonction relative Ă lâinformation des utilisateurs sur les finalitĂ©s des cookies soumis au consentement et sur les moyens de refuser les cookies. La procĂ©dure actuelle porte sur les modalitĂ©s de refus elles-mĂȘmes, et non uniquement sur lâinformation. Ainsi, les deux procĂ©dures ne concernent pas les mĂȘmes faits.
39. En deuxiĂšme lieu, les sociĂ©tĂ©s font valoir que, aux termes de la dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, la formation restreinte leur a enjoint de se conformer Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » dans toutes ses dispositions et de fournir notamment, mais non exclusivement en raison de lâutilisation des termes  » en particulier « , des informations sur les finalitĂ©s des cookies et sur les moyens de sây opposer. Elles ajoutent que, par la dĂ©libĂ©ration n° SAN-2021-004 du 30 avril 2021, la formation restreinte aurait dĂ©cidĂ© que le mĂ©canisme de consentement et de rejet des cookies, dans son entiĂšretĂ©, Ă©tait conforme Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » et que les sociĂ©tĂ©s auraient satisfait Ă lâinjonction dans le dĂ©lai imparti.
40. La formation restreinte ne souscrit pas Ă cette analyse. Le rapport de sanction de la procĂ©dure antĂ©rieure ne portait que sur lâinformation mise en place par les sociĂ©tĂ©s sur le bandeau cookies, sur le dĂ©pĂŽt de cookies sans consentement et sur la dĂ©faillance partielle du mĂ©canisme  » dâopposition « . Il ne fait donc aucun doute que la formation restreinte nâa pas pu se prononcer sur ce dont elle nâĂ©tait pas saisie dans le cadre de la procĂ©dure contradictoire. Ainsi, si les mots  » en particulier  » peuvent porter Ă confusion, lorsque la formule est prise de maniĂšre isolĂ©e, la formation restreinte rappelle que cette injonction ne saurait ĂȘtre lue de maniĂšre dĂ©corrĂ©lĂ©e de lâensemble de la dĂ©cision correspondante. Or, dans le cadre de cette prĂ©cĂ©dente procĂ©dure, la formation restreinte ne sâest prononcĂ©e que sur le pĂ©rimĂštre prĂ©citĂ© et lâinjonction nâa Ă©tĂ© prononcĂ©e quâen lien avec lâinformation des personnes. Les modalitĂ©s de refus des opĂ©rations de lecture et/ou dâĂ©criture, qui sont lâobjet de la prĂ©sente procĂ©dure de sanction, ne rentraient pas dans le champ de cette injonction. La dĂ©libĂ©ration n° SAN-2021-004 du 30 avril 2021 devant nĂ©cessairement ĂȘtre lue Ă la lumiĂšre de la dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, il ne saurait ĂȘtre considĂ©rĂ© que lâinjonction prononcĂ©e portait sur lâensemble des obligations rĂ©sultant de lâarticle 82 de la loi  » Informatique et LibertĂ©s « .
41. Ă cet Ă©gard, la formation restreinte relĂšve que, dans deux courriers du 17 fĂ©vrier 2021 adressĂ©s aux sociĂ©tĂ©s, le secrĂ©taire gĂ©nĂ©ral de la CNIL a rappelĂ© que, comme cela ressort des motifs et du dispositif de la dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, la conformitĂ© attendue dans la cadre de la procĂ©dure dâinjonction portait uniquement sur lâinformation fournie aux personnes sur la page dâaccueil du site  » google.fr « . Il Ă©tait Ă©galement indiquĂ© que, sâagissant de lâobligation dâinformer les personnes concernĂ©es de maniĂšre claire et complĂšte des moyens mis Ă leur disposition pour refuser les cookies,  » cette question est difficilement dĂ©tachable de la question des modalitĂ©s de refus sur le premier niveau, par un bouton refuser ou une solution Ă©quivalente, qui nâest pas dans le champ de lâinjonction « . Dans une perspective dâaccompagnement â et au regard des Ă©volutions attendues au titre de lâentrĂ©e en vigueur du rĂšglement (UE) 2016/679 du Parlement europĂ©en et du Conseil du 27 avril 2016 (ci-aprĂšs  » le RĂšglement  » ou  » le RGPD « ), Ă©clairĂ©es par la recommandation du 17 septembre 2020, et pour lesquelles une pĂ©riode dâadaptation avait Ă©tĂ© laissĂ©e par la CNIL aux acteurs jusquâau 1er avril 2021 â le courrier comportait une analyse excĂ©dant le pĂ©rimĂštre de lâinjonction prononcĂ©e par la formation restreinte, qui portait sur les Ă©lĂ©ments fournis par les sociĂ©tĂ©s en rĂ©ponse Ă lâinjonction, Ă©lĂ©ments qui dĂ©passaient eux-mĂȘmes le pĂ©rimĂštre du dispositif de la dĂ©libĂ©ration. Dans ce cadre, il Ă©tait rappelĂ© aux sociĂ©tĂ©s quâil doit ĂȘtre aussi facile de donner son consentement que de refuser de le donner ou de le retirer et il leur Ă©tait indiquĂ© quâil leur reviendrait dâinsĂ©rer sur le bandeau dâinformation un bouton  » Je refuse  » Ă cĂŽtĂ© du bouton  » Jâaccepte « , tout en prĂ©cisant quâelles pouvaient  » bien entendu changer les intitulĂ©s de ces boutons tant quâils permettent Ă lâutilisateur de comprendre clairement et directement les consĂ©quences de ses choix « . Si ce courrier ne revĂȘt aucune valeur impĂ©rative, la formation restreinte relĂšve quâaux termes dâun courrier que GIL a adressĂ© au prĂ©sident de la formation restreinte le 30 mars 2021, la sociĂ©tĂ© avait rĂ©pondu :  » nous partageons lâanalyse des services de la CNIL selon laquelle le mĂ©canisme de consentement de Google nâentre pas dans le pĂ©rimĂštre de lâinjonction prononcĂ©e par la formation restreinte dans sa dĂ©libĂ©ration du 7 dĂ©cembre 2020 « .
42. DĂšs lors, les sociĂ©tĂ©s ne sauraient affirmer que la formation restreinte a validĂ© le nouveau bandeau cookies mis en place par leurs soins Ă la suite de la premiĂšre procĂ©dure de sanction, alors mĂȘme quâelles avaient elles-mĂȘmes pleinement conscience que le mĂ©canisme de consentement et de rejet des cookies, dans son entiĂšretĂ©, nâĂ©tait pas lâobjet de cette procĂ©dure prĂ©cĂ©dente et que la CNIL a rappelĂ© Ă diffĂ©rentes occasions quâelle ne se prononçait pas sur ce point dans le cadre de la prĂ©cĂ©dente procĂ©dure.
43. La formation restreinte relĂšve en effet que, dans son communiquĂ© de presse relatif Ă la clĂŽture de lâinjonction du 4 mai 2021, la CNIL avait Ă©galement pris soin de prĂ©ciser que :  » Saisie avant la fin de la pĂ©riode dâadaptation laissĂ©e aux acteurs par la CNIL, la formation restreinte nâa pas examinĂ© la conformitĂ© du bandeau dâinformation fourni sur le site  » google.fr  » aux nouvelles rĂšgles en matiĂšre de cookies, portant notamment sur le consentement, qui sont Ă©clairĂ©es par les lignes directrices et la recommandation du 17 septembre 2020. Cette dĂ©cision de clĂŽture ne prĂ©juge donc pas de lâanalyse de la CNIL quant Ă la conformitĂ© de google.fr Ă ces exigences, selon lesquelles lâutilisateur doit dĂ©sormais ĂȘtre en mesure de refuser les cookies aussi facilement quâil peut les accepter. La CNIL se rĂ©serve dĂ©sormais la possibilitĂ© de contrĂŽler ces modalitĂ©s de refus et, si nĂ©cessaire, de mobiliser lâensemble de sa chaĂźne rĂ©pressive « .
44. En dernier lieu, la formation restreinte relÚve que la présente procédure vise à la fois les sites internet  » google.fr  » et  » youtube.com « , alors que la précédente procédure ne portait que sur le site  » google.fr « .
45. La formation restreinte considĂšre dĂšs lors que le grief tirĂ© de la violation du principe non bis in idem doit ĂȘtre Ă©cartĂ©.
C. Sur la compétence de la CNIL
1. Sur la compétence matérielle de la CNIL et la non-application du mécanisme de  » guichet unique  » prévu par le RGPD
46. Les traitements objets du contrĂŽle diligentĂ© le 1er juin 2021 par une dĂ©lĂ©gation de la CNIL sont effectuĂ©s dans le cadre de la fourniture de services de communications Ă©lectroniques accessibles au public par le biais dâun rĂ©seau public de communications Ă©lectroniques proposĂ©s au sein de lâUnion europĂ©enne. Ă ce titre, ils entrent dans le champ dâapplication matĂ©riel de la directive  » ePrivacy « .
47. Lâarticle 5, paragraphe 3, de cette directive, relatif au stockage ou Ă lâaccĂšs Ă des informations dĂ©jĂ stockĂ©es dans lâĂ©quipement terminal dâun abonnĂ© ou dâun utilisateur, a Ă©tĂ© transposĂ© en droit interne Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s « , au sein du chapitre IV de la loi relatif aux Droits et obligations propres aux traitements dans le secteur des communications Ă©lectroniques.
48. Aux termes de lâarticle 16 de la loi  » Informatique et LibertĂ©s « ,  » la formation restreinte prend les mesures et prononce les sanctions Ă l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations dĂ©coulant [âŠ] de la prĂ©sente loi « . Au titre de lâarticle 20, paragraphe III, de cette mĂȘme loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations rĂ©sultant [âŠ] de la prĂ©sente loi, le prĂ©sident de la Commission nationale de l’informatique et des libertĂ©s [âŠ] peut saisir la formation restreinte « .
49. La rapporteure considĂšre que la CNIL est matĂ©riellement compĂ©tente en application de ces dispositions pour contrĂŽler et sanctionner les opĂ©rations dâaccĂšs ou dâinscription dâinformations mises en Ćuvre par les sociĂ©tĂ©s dans les terminaux des utilisateurs des sites  » google.fr  » et  » youtube.com  » en France.
50. Les sociĂ©tĂ©s contestent la compĂ©tence de la CNIL et estiment quâelles devraient se voir appliquer le cadre procĂ©dural prĂ©vu par le RGPD, câest-Ă -dire le mĂ©canisme de coopĂ©ration entre les autoritĂ©s de contrĂŽle, dit mĂ©canisme de  » guichet unique « , prĂ©vu au chapitre VII du RĂšglement. En application de ce mĂ©canisme, lâautoritĂ© de contrĂŽle compĂ©tente pour connaĂźtre des faits en cause ne serait pas la CNIL mais lâautoritĂ© de protection des donnĂ©es irlandaise, la Data Protection Commissionner (ci-aprĂšs la  » DPC « ), qui devrait agir en qualitĂ© d’autoritĂ© chef de file Ă lâĂ©gard du dĂ©ploiement des cookies, celle-ci Ă©tant compĂ©tente selon les sociĂ©tĂ©s aussi bien au titre du RGPD que de la directive  » ePrivacy « .
51. Ă ce soutien, les sociĂ©tĂ©s invoquent notamment le lien inextricable entre le RGPD et la directive  » ePrivacy « , considĂ©rant que lâapplication du RGPD ne peut ĂȘtre exclue lorsque lâarticle 82 de la loi  » Informatique et LibertĂ©s  » sâapplique. Elles invoquent Ă©galement le principe de lex specialis â lex generalis en vertu duquel, selon elles, la directive  » ePrivacy  » prĂ©cise et complĂšte le RGPD. Les sociĂ©tĂ©s considĂšrent que lâabsence de rĂšgles spĂ©cifiques relatives Ă la dĂ©termination de la compĂ©tence de lâautoritĂ© de contrĂŽle en cas de traitements transfrontaliers relevant du champ dâapplication de la directive  » ePrivacy  » devrait se voir supplĂ©Ă©e par lâapplication du cadre procĂ©dural prĂ©vu par le RGPD. Elles soutiennent que lâapplication du mĂ©canisme de  » guichet unique  » est non seulement conforme Ă lâintention du lĂ©gislateur europĂ©en, mais aussi Ă lâinterprĂ©tation du CEPD, et correspond en outre Ă la position adoptĂ©e par plusieurs autoritĂ©s europĂ©ennes. Elles relĂšvent Ă cet Ă©gard que le pouvoir laissĂ© aux Ătats membres quant au choix de lâautoritĂ© nationale chargĂ©e de veiller au respect de la directive  » ePrivacy  » ne fait pas obstacle Ă lâapplication du mĂ©canisme de  » guichet unique  » prĂ©vu par le RGPD, dans la mesure oĂč des accords de coopĂ©ration entre ces autoritĂ©s ont Ă©tĂ© conclus dans plusieurs Ătats membres afin que les autoritĂ©s de protection des donnĂ©es et les autoritĂ©s chargĂ©es de lâapplication de la directive  » ePrivacy « , sâil sâagit dâautoritĂ©s diffĂ©rentes, puissent exercer conjointement des pouvoirs dâexĂ©cution sur une question relevant du champ dâapplication du RGPD et de la directive  » ePrivacy  » et ainsi participer au mĂ©canisme de guichet unique.
52. Les sociĂ©tĂ©s ajoutent en outre que lâannonce du CEPD du 27 septembre 2021 relative Ă la crĂ©ation dâun groupe de travail sur les bandeaux cookies en rĂ©ponse au nombre important de plaintes rĂ©cemment dĂ©posĂ©es auprĂšs des autoritĂ©s de contrĂŽle par lâassociation NOYB constitue une preuve selon laquelle le CEPD considĂšre que les violations liĂ©es aux cookies relĂšvent directement du champ dâapplication du RGPD et, par consĂ©quent, du mĂ©canisme de  » guichet unique « .
53. Ă titre liminaire, la formation restreinte souligne la distinction quâil convient dâopĂ©rer entre, dâune part, les opĂ©rations consistant Ă dĂ©poser et Ă lire un cookie sur le terminal dâun utilisateur et, dâautre part, lâutilisation ultĂ©rieure qui est faite des donnĂ©es gĂ©nĂ©rĂ©es par ces cookies, par exemple Ă des fins de profilage, gĂ©nĂ©ralement dĂ©signĂ©e sous lâexpression  » traitements subsĂ©quents  » (dits Ă©galement  » ultĂ©rieurs « ). Chacune de ces deux Ă©tapes successives est soumise Ă un rĂ©gime juridique diffĂ©rent : tandis que les opĂ©rations de lecture et dâĂ©criture dans un terminal sont rĂ©gies par des rĂšgles spĂ©ciales, fixĂ©es par la directive  » ePrivacy  » – en lâoccurrence, par son article 5 paragraphe 3 -, et transposĂ©es en droit national, les  » traitements subsĂ©quents  » sont quant Ă eux rĂ©gis par le RGPD et, Ă ce titre, peuvent ĂȘtre soumis au mĂ©canisme de  » guichet unique  » dans lâhypothĂšse oĂč ils seraient transfrontaliers.
54. En lâespĂšce, la formation restreinte rappelle que la prĂ©sente procĂ©dure ne vise que les opĂ©rations de lecture et dâĂ©criture mises en Ćuvre dans le terminal de lâutilisateur situĂ© en France se rendant sur le moteur de recherche Google Search et YouTube, les constatations matĂ©rielles effectuĂ©es par la dĂ©lĂ©gation lors du contrĂŽle en ligne du 1er juin 2021 nâayant portĂ© que sur ces opĂ©rations, sans sâintĂ©resser aux traitements subsĂ©quents mis en Ćuvre Ă partir des donnĂ©es collectĂ©es via ces cookies.
55. En premier lieu, la formation restreinte relĂšve quâil ressort des dispositions citĂ©es ci-avant que le lĂ©gislateur français a chargĂ© la CNIL de veiller au respect des dispositions de la directive  » ePrivacy  » transposĂ©es Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s « , en lui confiant notamment le pouvoir de sanctionner toute mĂ©connaissance de cet article. Elle souligne que cette compĂ©tence a notamment Ă©tĂ© reconnue par le Conseil dâĂtat dans sa dĂ©cision Association des agences-conseils en communication du 19 juin 2020 concernant la dĂ©libĂ©ration de la CNIL no 2019-093 portant adoption de lignes directrices relatives Ă lâapplication de lâarticle 82 de la loi du 6 janvier 1978 modifiĂ©e aux opĂ©rations de lecture ou Ă©criture dans le terminal dâun utilisateur. Le Conseil dâĂtat a en effet relevĂ© que  » lâarticle 20 de cette loi confie [au] prĂ©sident [de la CNIL] le pouvoir de prendre les mesures correctrices en cas de non-respect des obligations rĂ©sultant du rĂšglement (UE) 2016/279 ou de ses propres dispositions, ainsi que la possibilitĂ© de saisir la formation restreinte en vue du prononcĂ© des sanctions susceptibles dâĂȘtre prononcĂ©es  » (CE, 19 juin 2020, req. 434684, pt. 3).
56. En deuxiĂšme lieu, la formation restreinte considĂšre que lorsquâun traitement peut relever Ă la fois du champ dâapplication matĂ©riel de la directive  » ePrivacy  » et du champ dâapplication matĂ©riel du RGPD, il convient de se rĂ©fĂ©rer aux dispositions pertinentes des deux textes qui prĂ©voient leur articulation. Ainsi, lâarticle 1er, paragraphe 2, de la directive  » ePrivacy  » dispose que  » les dispositions de la prĂ©sente directive prĂ©cisent et complĂštent la directive 95/46/CE  » du Parlement europĂ©en et du Conseil du 24 octobre 1995 sur la protection des donnĂ©es personnelles (ci-aprĂšs la  » directive 95/46/CE sur la protection des donnĂ©es personnelles « ), Ă©tant rappelĂ© que depuis lâentrĂ©e en application du RĂšglement, les rĂ©fĂ©rences faites Ă cette derniĂšre directive doivent sâentendre comme faites au RGPD, conformĂ©ment Ă lâarticle 94 de ce dernier. De mĂȘme, il ressort du considĂ©rant 173 du RGPD que ce texte prĂ©voit explicitement nâĂȘtre pas applicable aux traitements de donnĂ©es Ă caractĂšre personnel  » soumis Ă des obligations spĂ©cifiques ayant le mĂȘme objectif [de protection des libertĂ©s et droits fondamentaux] Ă©noncĂ©es dans la directive 2002/58/CE du Parlement europĂ©en et du Conseil, y compris les obligations incombant au responsable du traitement et les droits des personnes physiques « . Cette articulation a Ă©tĂ© confirmĂ©e par la CJUE dans sa dĂ©cision Planet49 du 1er octobre 2019 (CJUE, 1er octobre 2019, C 673/17, pt. 42).
57. Ă cet Ă©gard, la formation restreinte relĂšve que, contrairement Ă ce que soutiennent les sociĂ©tĂ©s, la directive  » ePrivacy  » constitue un corps de rĂšgles spĂ©ciales, qui prĂ©voit bien, pour les obligations spĂ©cifiques quâelle comporte, son propre mĂ©canisme de mise en Ćuvre et de contrĂŽle de son application au sein de son article 15bis. Ainsi, le premier paragraphe de cet article laisse aux Ătats membres la compĂ©tence pour dĂ©terminer  » le rĂ©gime des sanctions, y compris des sanctions pĂ©nales sâil y a lieu, applicables aux violations des dispositions nationales prises en application de la prĂ©sente directive et [prendre] toute mesure nĂ©cessaire pour assurer la mise en Ćuvre de celles-ci. Les sanctions ainsi prĂ©vues doivent ĂȘtre effectives, proportionnĂ©es et dissuasives et peuvent ĂȘtre appliquĂ©es pour couvrir la durĂ©e de lâinfraction, mĂȘme si celle-ci a Ă©tĂ© ultĂ©rieurement corrigĂ©e « . La rĂšgle posĂ©e au 3) de lâarticle 5 de la directive  » ePrivacy « , selon laquelle les opĂ©rations de lecture et/ou dâĂ©criture doivent systĂ©matiquement faire lâobjet dâun accord prĂ©alable de lâutilisateur, aprĂšs information, constitue une rĂšgle spĂ©ciale au regard du RGPD puisquâelle interdit de se prĂ©valoir des bases lĂ©gales mentionnĂ©es Ă lâarticle 6 de ce dernier pour pouvoir licitement procĂ©der Ă ces opĂ©rations de lecture et/ou dâĂ©criture sur le terminal. Le contrĂŽle de cette rĂšgle relĂšve donc bien du mĂ©canisme spĂ©cial de contrĂŽle et sanction prĂ©vu par la directive  » ePrivacy « , et non des autoritĂ©s de protection de donnĂ©es et du CEPD en application du RGPD. Câest par un choix propre que le lĂ©gislateur en France a confiĂ© cette mission Ă la CNIL. De plus, le deuxiĂšme paragraphe du mĂȘme article oblige les Ătats membres Ă veiller  » Ă ce que lâautoritĂ© nationale compĂ©tente et, le cas Ă©chĂ©ant, dâautres organismes nationaux aient le pouvoir dâordonner la cessation des infractions visĂ©es au paragraphe I « .
58. Au vu de ce qui prĂ©cĂšde, la formation restreinte considĂšre quâen application de lâadage specialia generalibus derogant, les rĂšgles spĂ©cifiques relatives aux cookies qui dĂ©coulent de la directive  » ePrivacy  » prĂ©valent sur les rĂšgles gĂ©nĂ©rales du RGPD. Ainsi, le mĂ©canisme de  » guichet unique  » prĂ©vu par le RGPD ne peut ĂȘtre appliquĂ© aux traitements visĂ©s par la directive, comme le prĂ©tendent les sociĂ©tĂ©s.
59. En troisiĂšme lieu, la formation restreinte ajoute que cette exclusion est corroborĂ©e par le fait que les Ătats membres, qui sont libres de dĂ©terminer lâautoritĂ© nationale compĂ©tente pour connaĂźtre des violations des dispositions nationales prises en application de la directive  » ePrivacy « , peuvent avoir attribuĂ© cette compĂ©tence Ă une autoritĂ© autre que leur autoritĂ© nationale de protection des donnĂ©es instituĂ©e par le RGPD, en lâoccurrence Ă leur autoritĂ© de rĂ©gulation des tĂ©lĂ©communications. DĂšs lors, dans la mesure oĂč ces derniĂšres autoritĂ©s ne font pas partie du CEPD, alors que ce comitĂ© joue une fonction incontournable dans le mĂ©canisme de contrĂŽle de la cohĂ©rence mis en Ćuvre au chapitre VII du RGPD, il est de fait impossible dâappliquer le  » guichet unique  » Ă des pratiques susceptibles dâĂȘtre sanctionnĂ©es par des autoritĂ©s de contrĂŽle nationales ne siĂ©geant pas au sein de ce comitĂ©.
60. La formation restreinte souligne que les accords de coopĂ©ration passĂ©s entre autoritĂ©s de protection des donnĂ©es et autoritĂ©s de rĂ©gulation des tĂ©lĂ©communications dans certains Ătats membres, invoquĂ©s par la sociĂ©tĂ©, ont pour but dâinstaurer une coopĂ©ration au niveau national entre les diffĂ©rents rĂ©gulateurs afin dâassurer la cohĂ©rence de leurs doctrines sur des sujets connexes mais nâont pas pour objectif de faire participer en tant que telles les autoritĂ©s de rĂ©gulation des tĂ©lĂ©communications au mĂ©canisme de  » guichet unique  » prĂ©vu par le chapitre VII du RGPD.
61. En quatriĂšme lieu, la formation restreinte note que le CEPD a, dans son avis n° 5/2019 du 12 mars 2019 relatif aux interactions entre la directive  » vie privĂ©e et communications Ă©lectroniques  » et le RGPD, explicitement exclu lâapplication du mĂ©canisme de  » guichet unique  » Ă des faits relevant matĂ©riellement de la directive  » ePrivacy  » en ces termes :  » conformĂ©ment au chapitre VII du RGPD, les mĂ©canismes de coopĂ©ration et de cohĂ©rence dont disposent les autoritĂ©s de protection des donnĂ©es au titre du RGPD concernent le contrĂŽle de lâapplication des dispositions du RGPD. Les mĂ©canismes du RGPD ne sâappliquent pas au contrĂŽle de lâapplication des dispositions de la directive  » vie privĂ©e et communications Ă©lectroniques  » en tant que telle  » (CEPD, avis 5/2019, 12 mars 2019, pt. 80).
62. En cinquiĂšme lieu, la formation restreinte relĂšve que la CJUE, dans un arrĂȘt Facebook Belgium rendu le 15 juin 2021, a repris lâavis 5/2019 du CEPD prĂ©citĂ©. La CJUE a suivi sur ce point les conclusions de son avocat gĂ©nĂ©ral, M. BOBEK, lequel estimait quâ » afin de dĂ©cider si une affaire relĂšve effectivement du champ dâapplication matĂ©riel du RGPD, une juridiction nationale, y compris toute juridiction de renvoi, est tenue de rechercher la source prĂ©cise de lâobligation lĂ©gale pesant sur un opĂ©rateur Ă©conomique dont il est allĂ©guĂ© quâil lâa enfreinte. Si la source de cette obligation nâest pas le RGPD, les procĂ©dures Ă©tablies par cet instrument, qui sont liĂ©es Ă son objectif principal, ne sont logiquement pas non plus applicables  » (CJUE, conclusions de lâavocat gĂ©nĂ©ral M. BOBEK, 13 janvier 2021, Facebook Belgium, C 645/19, pts. 37 et 38).
63. En lâoccurrence, la formation restreinte relĂšve que, dans la prĂ©sente procĂ©dure, la source prĂ©cise de lâobligation lĂ©gale objet du contrĂŽle trouve son origine dans lâarticle 5, paragraphe 3, de la directive  » ePrivacy « , transposĂ© Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s « , Ă©clairĂ© par les conditions du consentement tel que prĂ©vu par le RGPD, lâarticle 2, f), de la directive  » ePrivacy  » prĂ©voyant que le consentement dâun utilisateur correspond au consentement de la personne concernĂ©e figurant dans la directive 95/46/CE, Ă laquelle sâest substituĂ© le RGPD.
64. La formation restreinte souligne Ă©galement que dâautres autoritĂ©s nationales de protection des donnĂ©es ont Ă©galement dĂ©jĂ prononcĂ© des sanctions portant sur des manquements relatifs aux opĂ©rations de lecture et/ou dâĂ©criture dâinformations dans le terminal des utilisateurs. LâautoritĂ© espagnole a ainsi rendu plusieurs dĂ©cisions de sanction Ă lâencontre de diffĂ©rents responsables de traitement en application exclusive des dispositions nationales transposant la directive  » ePrivacy « , en lâoccurrence lâarticle 22, paragraphe 2 de la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la InformaciĂłn y de Comercio ElectrĂłnico, sans que soit mise en Ćuvre la procĂ©dure de coopĂ©ration instituĂ©e par le RGPD.
65. En sixiĂšme lieu, la formation restreinte note que lâĂ©ventuelle application du mĂ©canisme de  » guichet unique  » Ă un traitement encadrĂ© par la directive  » ePrivacy  » fait lâobjet de nombreuses discussions dans le cadre de lâĂ©laboration du projet de rĂšglement  » ePrivacy  » en cours de nĂ©gociation depuis plus de quatre ans au niveau europĂ©en. Lâexistence mĂȘme de ces dĂ©bats confirme quâen lâĂ©tat, le mĂ©canisme de guichet unique prĂ©vu par le RGPD nâest pas applicable aux matiĂšres rĂ©gies par lâactuelle directive  » ePrivacy « .
66. En dernier lieu, selon la formation restreinte, la crĂ©ation dâun groupe de travail sur les bandeaux cookies en rĂ©ponse au nombre important de plaintes dĂ©posĂ©es auprĂšs des autoritĂ©s de contrĂŽle europĂ©ennes par lâassociation NOYB ne signifie pas, contrairement Ă ce qui est soutenu, que le CEPD considĂšre que toutes les violations liĂ©es aux cookies relĂšvent nĂ©cessairement du champ dâapplication du RGPD. La formation restreinte note dâailleurs que certaines des questions Ă©voquĂ©es dans ces plaintes concernent les traitements subsĂ©quents qui, eux, relĂšvent du RGPD. En outre, en application de lâarticle 70, paragraphe 1 u), le CEPD a notamment pour mission de promouvoir la coopĂ©ration et lâĂ©change bilatĂ©ral et multilatĂ©ral effectif dâinformations et de bonnes pratiques entre les autoritĂ©s de contrĂŽle. Lâobjet du groupe de travail est ainsi dâĂ©changer sur lâanalyse des nombreuses plaintes dĂ©posĂ©es par lâassociation NOYB. La crĂ©ation de ce groupe de travail ne remet pas en cause la position du CEPD, dans son avis 5/2019 prĂ©citĂ©.
67. Ainsi, la formation restreinte considĂšre que le mĂ©canisme de  » guichet unique  » prĂ©vu par le RGPD nâest pas applicable Ă la prĂ©sente procĂ©dure et que la CNIL est compĂ©tente pour contrĂŽler et sanctionner les traitements consistant en des opĂ©rations de lecture et/ou dâĂ©criture dâinformations dans le terminal des utilisateurs situĂ©s en France mis en Ćuvre par les sociĂ©tĂ©s relevant du champ dâapplication de la directive  » ePrivacy « , sous rĂ©serve quâils se rattachent Ă sa compĂ©tence territoriale.
2. Sur la compétence territoriale de la CNIL
68. La rĂšgle dâapplication territoriale des exigences fixĂ©es Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » est fixĂ©e Ă lâarticle 3, paragraphe I, de la loi  » Informatique et LibertĂ©s  » qui dispose :  » sans prĂ©judice, en ce qui concerne les traitements entrant dans le champ du rĂšglement (UE) 2016/679 du 27 avril 2016, des critĂšres prĂ©vus par l’article 3 de ce rĂšglement, l’ensemble des dispositions de la prĂ©sente loi s’appliquent aux traitements des donnĂ©es Ă caractĂšre personnel effectuĂ©s dans le cadre des activitĂ©s d’un Ă©tablissement d’un responsable du traitement [âŠ] sur le territoire français, que le traitement ait lieu ou non en France « .
69. La rapporteure considĂšre que la CNIL est territorialement compĂ©tente en application de ces dispositions dĂšs lors que le traitement objet de la prĂ©sente procĂ©dure, consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation du moteur de recherche Google Search et de YouTube, notamment Ă des fins publicitaires, est effectuĂ© dans le  » cadre des activitĂ©s  » de la sociĂ©tĂ© GOOGLE FRANCE, qui constitue  » lâĂ©tablissement  » sur le territoire français du groupe GOOGLE.
70. Les sociĂ©tĂ©s renvoient, quant Ă elles, sur ce point aux observations quâelles avaient produites dans le cadre de la prĂ©cĂ©dente procĂ©dure de sanction et dans lesquelles elles soutenaient que, dans la mesure oĂč il conviendrait de faire application des rĂšgles de compĂ©tence et des procĂ©dures de coopĂ©ration dĂ©finies par le RGPD, la CNIL ne disposerait pas de la compĂ©tence territoriale pour connaĂźtre de cette affaire Ă©tant donnĂ© que le  » siĂšge rĂ©el  » du groupe GOOGLE en Europe, soit le lieu de son administration centrale au sens de lâarticle 56 du RGPD, est situĂ© en Irlande.
71. La formation restreinte retient de nouveau que les faits en cause relĂšvent matĂ©riellement des dispositions de la directive  » ePrivacy « , et non du RGPD. Il en rĂ©sulte quâil convient de se rĂ©fĂ©rer aux dispositions de lâarticle 3, paragraphe I, de la loi  » Informatique et LibertĂ©s « , dĂ©terminant le champ de la compĂ©tence territoriale de la CNIL.
72. Ă cet Ă©gard, la formation restreinte souligne que la directive  » ePrivacy  » ne fixe pas elle-mĂȘme explicitement la rĂšgle dâapplication territoriale des diffĂ©rentes lois de transposition adoptĂ©es par chaque Ătat membre. Cependant, cette directive indique quâelle  » prĂ©cise et complĂšte la directive 95/46.CE « , laquelle prĂ©voyait Ă lâĂ©poque, Ă son article 4, que  » Chaque Ătat membre applique les dispositions nationales qu’il arrĂȘte en vertu de la prĂ©sente directive aux traitements de donnĂ©es Ă caractĂšre personnel lorsque : a) le traitement est effectuĂ© dans le cadre des activitĂ©s d’un Ă©tablissement du responsable du traitement sur le territoire de l’Ătat membre; si un mĂȘme responsable du traitement est Ă©tabli sur le territoire de plusieurs Ătats membres, il doit prendre les mesures nĂ©cessaires pour assurer le respect, par chacun de ses Ă©tablissements, des obligations prĂ©vues par le droit national applicable « . Si cette rĂšgle de dĂ©termination de la loi nationale applicable au sein de lâUnion nâa plus lieu dâĂȘtre pour lâapplication des rĂšgles du RGPD, qui a remplacĂ© la directive 95/46/CE sur la protection des donnĂ©es personnelles et sâapplique uniformĂ©ment sur tout le territoire de lâUnion, il apparaĂźt que le lĂ©gislateur français a maintenu ces critĂšres dâapplication territoriale pour les rĂšgles spĂ©cifiques contenues dans la loi  » Informatique et LibertĂ©s « , et donc en lâespĂšce pour celles qui transposent la directive  » ePrivacy « . DĂšs lors, la jurisprudence de la CJUE sur lâapplication de lâarticle 4 de lâancienne directive 95/46/CE sur la protection des donnĂ©es personnelles demeure pertinente pour Ă©clairer la portĂ©e Ă donner Ă ces deux critĂšres.
73. En premier lieu, sâagissant de lâexistence dâun  » Ă©tablissement du responsable de traitement sur le territoire français « , la CJUE a considĂ©rĂ© de façon constante que la notion dâĂ©tablissement devait ĂȘtre apprĂ©ciĂ©e de façon souple et quâĂ cette fin, il convenait dâĂ©valuer tant le degrĂ© de stabilitĂ© de lâinstallation que la rĂ©alitĂ© de lâexercice des activitĂ©s dans un autre Ătat membre, en tenant compte de la nature spĂ©cifique des activitĂ©s Ă©conomiques et des prestations de services en question (voir, par exemple, CJUE, Weltimmo, 1er oct. 2015, C 230/14, pts. 30 et 31). La CJUE estime en outre quâune sociĂ©tĂ©, personne morale autonome, du mĂȘme groupe que le responsable de traitement, peut constituer un Ă©tablissement du responsable de traitement au sens de ces dispositions (CJUE, 13 mai 2014, Google Spain, C-131/12, pt 48).
74. En lâoccurrence, la formation restreinte relĂšve, tout dâabord, que la sociĂ©tĂ© GOOGLE FRANCE est le siĂšge de la filiale française de la sociĂ©tĂ© GOOGLE LLC, quâelle dispose de locaux situĂ©s Ă Paris, quâelle emploie environ [âŠ] personnes et que, selon ses statuts dĂ©posĂ©s auprĂšs du greffe du tribunal de commerce de Paris, elle a notamment pour objet  » la fourniture de services et/ou conseils relatifs aux logiciels, au rĂ©seau internet, aux rĂ©seaux tĂ©lĂ©matiques ou en ligne, notamment lâintermĂ©diation en matiĂšre de vente de publicitĂ© en ligne, la promotion sous toutes ses formes de la publicitĂ© en ligne, la promotion directe de produits et services et la mise en Ćuvre de centres de traitement de lâinformation « . La formation restreinte relĂšve, ensuite, ainsi quâelle lâa rappelĂ© dans sa dĂ©libĂ©ration du 7 dĂ©cembre 2020,  » que la sociĂ©tĂ© GOOGLE FRANCE est chargĂ©e dâassurer la promotion de la publicitĂ© en ligne pour le compte de la sociĂ©tĂ© GIL, qui est co-contractante des contrats publicitaires conclus avec les entreprises françaises ou filiales françaises de sociĂ©tĂ©s Ă©trangĂšres  » et  » que la sociĂ©tĂ© GOOGLE FRANCE participe de maniĂšre effective Ă la promotion des produits et services conçus et dĂ©veloppĂ©s par la sociĂ©tĂ© GOOGLE LLC, tels que Google Search, en France, ainsi quâaux activitĂ©s publicitaires gĂ©rĂ©es par la sociĂ©tĂ© GIL  » (dĂ©libĂ©ration de la formation restreinte n°SAN-2020-012 du 7 dĂ©cembre 2020 concernant les sociĂ©tĂ©s GOOGLE LLC et GOOGLE IRELAND LIMITED, pt. 42). Elle relĂšve que ces constats apparaissent toujours valables Ă la date de la prĂ©sente dĂ©libĂ©ration.
75. En second lieu, sâagissant de lâexistence dâun traitement effectuĂ©  » dans le cadre des activitĂ©s  » de cet Ă©tablissement, la formation restreinte relĂšve que la CJUE a, dans son arrĂȘt Google Spain du 13 mai 2014, considĂ©rĂ© que le traitement relatif au moteur de recherche Google Search Ă©tait effectuĂ©  » dans le cadre des activitĂ©s  » de la sociĂ©tĂ© GOOGLE SPAIN, Ă©tablissement de la sociĂ©tĂ© GOOGLE INC – devenue depuis GOOGLE LLC -, dans la mesure oĂč cette sociĂ©tĂ© est destinĂ©e Ă assurer en Espagne la promotion et la vente des espaces publicitaires proposĂ©s par ce moteur de recherche, qui servent Ă rentabiliser le service offert par ce moteur de recherche. La CJUE a prĂ©cisĂ© que  » lâarticle 4, paragraphe 1, sous a), de la directive 95/46 exige non pas que le traitement de donnĂ©es Ă caractĂšre personnel en question soit effectuĂ©  » par  » lâĂ©tablissement concernĂ© lui-mĂȘme, mais uniquement quâil le soit  » dans le cadre des activitĂ©s  » de celui-ci  » (pt. 52). Selon la Cour,  » lâarticle 4, paragraphe 1, sous a), de la directive 95/46 doit ĂȘtre interprĂ©tĂ© en ce sens quâun traitement de donnĂ©es Ă caractĂšre personnel est effectuĂ© dans le cadre des activitĂ©s dâun Ă©tablissement du responsable de ce traitement sur le territoire dâun Ătat membre, au sens de cette disposition, lorsque lâexploitant dâun moteur de recherche crĂ©e dans un Ătat membre une succursale ou une filiale destinĂ©e Ă assurer la promotion et la vente des espaces publicitaires proposĂ©s par ce moteur et dont lâactivitĂ© vise les habitants de cet Ătat membre  » (pt. 60).
76. En outre, la formation restreinte relĂšve que la CJUE a par la suite considĂ©rĂ©, dans ses dĂ©cisions Wirtschaftsakademie et Facebook Belgium, que le traitement consistant en la collecte de donnĂ©es Ă caractĂšre personnel par lâintermĂ©diaire de cookies dĂ©posĂ©s dans les terminaux des utilisateurs visitant, en Allemagne et en Belgique, des pages hĂ©bergĂ©es sur le rĂ©seau social Facebook Ă©tait respectivement effectuĂ©  » dans le cadre des activitĂ©s  » des sociĂ©tĂ©s FACEBOOK GERMANY et FACEBOOK BELGIUM, Ă©tablissements allemand et belge du groupe Facebook, dans la mesure oĂč ces Ă©tablissements sont destinĂ©s Ă assurer, dans leur pays respectif, la promotion et la vente des espaces publicitaires proposĂ©s par ce rĂ©seau social, qui servent Ă rentabiliser le service offert par Facebook (CJUE, grande chambre, 5 juin 2018, Wirtschaftsakademie, C-210/16, pts. 56 Ă 60 ; 15 juin 2021, Facebook Belgium, C-645/19, pts. 92 Ă 95). Si dans lâarrĂȘt Google Spain, la compĂ©tence espagnole avait Ă©tĂ© retenue pour un traitement dont la responsabilitĂ© effective relevait de sociĂ©tĂ©s basĂ©es aux Ătats-Unis, en dehors de lâUnion europĂ©enne, dans ces derniers arrĂȘts, la CJUE a Ă©tendu son raisonnement au cas oĂč la responsabilitĂ© effective du traitement relĂšve dâune sociĂ©tĂ© installĂ©e dans un autre pays de lâUnion europĂ©enne.
77. La formation restreinte relĂšve que, mĂȘme si ces trois arrĂȘts concernaient plus spĂ©cialement les  » traitements subsĂ©quents  » mis en Ćuvre Ă partir des cookies dĂ©posĂ©s dans les terminaux des utilisateurs, ce qui justifiait lâapplication de la directive 95/46/CE pour les affaires Google Spain et Wirtschaftsakademie et du RGPD pour lâaffaire Facebook Belgium, cette jurisprudence demeure pertinente pour Ă©clairer la portĂ©e Ă donner Ă la notion de traitement effectuĂ©  » dans le cadre des activitĂ©s  » dâun Ă©tablissement, dans la mesure oĂč le lĂ©gislateur français lâa reprise lors de la transposition de la directive  » ePrivacy  » pour fonder la compĂ©tence territoriale de la CNIL sâagissant des traitements relevant de cette directive.
78. En lâespĂšce, et en complĂ©ment des dĂ©veloppements prĂ©cĂ©dents figurant ci-dessus au paragraphe74 la formation restreinte relĂšve que, selon les informations mises en ligne sur son site web, la sociĂ©tĂ© GOOGLE FRANCE accompagne notamment les petites et moyennes entreprises en France  » Ă travers le dĂ©veloppement dâoutils de collaboration, de solutions publicitaires ou pour leur donner les clĂ©s de comprĂ©hension de leurs marchĂ©s et de leurs consommateurs « . Ensuite, elle a dĂ©jĂ actĂ©, dans sa dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020 que,  » dans son courrier du 30 avril 2020 la sociĂ©tĂ© GIL indique que  » Google France dispose dâune Ă©quipe de vente dĂ©diĂ©e Ă la promotion et Ă la vente des services de GIL Ă lâĂ©gard des annonceurs et des Ă©diteurs basĂ©s en France, comme Google Ads  »  » (point n° 44). Ce constat apparaĂźt toujours valable Ă la date de la prĂ©sente dĂ©libĂ©ration. La formation restreinte relĂšve enfin quâil est prĂ©cisĂ© sur le site web  » ads.google.com  » que  » Google Ads permet aux entreprises françaises de mettre leurs produits ou services en avant sur le moteur de recherche et sur un large rĂ©seau publicitaire « .
79. Ainsi, le traitement consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs du moteur de recherche Google Search et de YouTube rĂ©sidant en France, notamment Ă des fins publicitaires, est effectuĂ© dans le cadre des activitĂ©s de la sociĂ©tĂ© GOOGLE FRANCE sur le territoire français, laquelle est en charge de la promotion et de la commercialisation des produits GOOGLE et de leurs solutions publicitaires en France. La formation restreinte relĂšve que les deux critĂšres prĂ©vus Ă lâarticle 3, paragraphe I, de la loi  » Informatique et LibertĂ©s  » sont donc rĂ©unis.
80. Il en rĂ©sulte que le droit français est applicable et que la CNIL est matĂ©riellement et territorialement compĂ©tente pour exercer ses pouvoirs, parmi lesquels celui de prendre des sanctions concernant les traitements relevant du champ dâapplication de la directive  » ePrivacy « .
D. Sur le grief tirĂ© de lâillĂ©galitĂ© de la prĂ©sente procĂ©dure de sanction
81. Les sociĂ©tĂ©s contestent le fait de nâavoir reçu aucune mise en demeure avant que la prĂ©sidente de la CNIL ne dĂ©cide dâouvrir une procĂ©dure de sanction, contrairement Ă dâautres acteurs, invoquant ainsi une diffĂ©rence de traitement entre GIL et GOOGLE LLC et la soixantaine de sociĂ©tĂ©s que la CNIL a dĂ©clarĂ© avoir mis en demeure pour des agissements similaires dans ses communiquĂ©s des 25 mai et 19 juillet 2021 diffusĂ©s sur son site web.
82. En premier lieu, sâagissant de lâargument des sociĂ©tĂ©s selon lequel les dispositions qui leur sont opposĂ©es par la rapporteure sont entrĂ©es en vigueur moins de cinq mois avant le dĂ©but de la procĂ©dure de sanction, la formation restreinte rappelle que, dans le cadre de la prĂ©sente dĂ©libĂ©ration, elle se fonde exclusivement sur les dispositions de lâarticle 82 de la loi  » Informatique et LibertĂ©s « , Ă©clairĂ©es par les exigences renforcĂ©es en matiĂšre de consentement du RGPD, entrĂ© en application en mai 2018. DĂšs lors, le cadre juridique applicable aux faits Ă lâorigine de la prĂ©sente procĂ©dure de sanction est parfaitement Ă©tabli.
83. La formation restreinte rappelle en outre que, dĂšs juin 2019 et Ă diffĂ©rentes reprises par la suite, la CNIL a communiquĂ© sur son plan dâaction qui comportait deux Ă©tapes principales : la publication de nouvelles lignes directrices en juillet 2019 et la concertation avec les professionnels pour Ă©laborer une nouvelle recommandation, proposant des modalitĂ©s opĂ©rationnelles de recueil du consentement. La CNIL avait prĂ©cisĂ©, dans un communiquĂ© de presse du 28 juin 2019, quâelle procĂšderait Ă des vĂ©rifications du respect de la recommandation six mois aprĂšs son adoption dĂ©finitive. La formation restreinte note que la CNIL avait Ă©tĂ© parfaitement transparente sur le calendrier, afin de laisser le temps aux organismes de se mettre en conformitĂ© avant dâeffectuer des contrĂŽles.
84. En deuxiĂšme lieu, la formation restreinte rappelle que, conformĂ©ment Ă lâarticle 20 de la loi  » Informatique et LibertĂ©s « , le prĂ©sident de la CNIL nâest pas tenu dâadresser une mise en demeure Ă un responsable de traitement avant dâengager une procĂ©dure de sanction Ă son encontre. Elle ajoute que la possibilitĂ© dâengager directement une procĂ©dure de sanction a Ă©tĂ© confirmĂ©e par le Conseil dâĂtat (voir, notamment, CE, 4 nov. 2020, req. n° 433311, pt. 3).
85. Elle note en outre que le secrĂ©taire gĂ©nĂ©ral de la CNIL avait rappelĂ© aux sociĂ©tĂ©s, dans ses courriers du 17 fĂ©vrier 2021, quâil doit ĂȘtre aussi facile de donner son consentement que de refuser de le donner ou de le retirer. Elle relĂšve Ă©galement que les sociĂ©tĂ©s GOOGLE LLC et GIL ont dĂ©jĂ fait lâobjet dâune procĂ©dure de sanction portant sur leur politique en matiĂšre de cookies. Les sociĂ©tĂ©s savaient parfaitement quâelles sâexposaient Ă dâĂ©ventuelles autres sanctions puisque, aux termes dâun communiquĂ© de presse publiĂ© le 4 mai 2021, la CNIL avait indiquĂ© que la clĂŽture de lâinjonction ne portait que sur le pĂ©rimĂštre de lâinjonction prononcĂ©e par la formation restreinte dans sa dĂ©libĂ©ration du 7 dĂ©cembre 2020. Elle prĂ©cisait que cette dĂ©cision de clĂŽture ne prĂ©jugeait pas de lâanalyse de la CNIL quant Ă la conformitĂ© de  » google.fr  » aux autres rĂšgles en matiĂšre de cookies, portant notamment sur le consentement, qui sont Ă©clairĂ©es par les lignes directrices et la recommandation du 17 septembre 2020, selon lesquelles lâutilisateur doit dĂ©sormais ĂȘtre en mesure de refuser les cookies aussi facilement quâil peut les accepter. La CNIL prĂ©cisait se rĂ©server la possibilitĂ© de contrĂŽler ces modalitĂ©s de refus et, si nĂ©cessaire, de mobiliser lâensemble de sa chaĂźne rĂ©pressive, Ă©tant prĂ©cisĂ© que la CNIL avait reçu plusieurs plaintes Ă ce sujet.
Ainsi, la formation restreinte considĂšre que les sociĂ©tĂ©s GOOGLE LLC et GIL ne se trouvaient pas dans la mĂȘme situation que dâautres organismes faisant lâobjet de mises en demeure de la part de la CNIL et que le grief tirĂ© de lâillĂ©galitĂ© de la procĂ©dure de sanction doit ĂȘtre Ă©cartĂ©.
E. Sur la demande de question préjudicielle
86. Les sociĂ©tĂ©s demandent subsidiairement Ă la formation restreinte de saisir la Cour de justice de lâUnion europĂ©enne (ci-aprĂšs la  » CJUE « ) dâune question prĂ©judicielle en ces termes :  » lâabsence dâun bouton « tout refuser » Ă cĂŽtĂ© dâun bouton « tout accepter » doit-elle ĂȘtre considĂ©rĂ©e comme une violation de lâarticle 4, paragraphe 11 et de lâarticle 7 du RGPD, lus conjointement avec lâarticle 5, paragraphe 3 de la directive e-Privacy alors que le responsable de traitement donne Ă la personne concernĂ©e le droit de refuser ledit traitement dans le second niveau du bandeau cookies et par le biais des paramĂštres du navigateur et lâinforme de cette possibilitĂ© de refuser le traitement et des moyens dont il dispose pour le faire dĂšs le premier niveau du bandeau cookies ? « . Les sociĂ©tĂ©s estiment que la formation restreinte est une juridiction au sens de lâarticle 267 du traitĂ© pour le fonctionnement de lâUnion europĂ©enne (ci-aprĂšs  » TFUE « ) et quâelle rĂ©pond aux critĂšres dâune juridiction : elle est Ă©tablie de maniĂšre permanente par la loi  » Informatique et LibertĂ©s  » ; elle a une juridiction obligatoire lorsque le prĂ©sident de la CNIL dĂ©cide dâinitier une procĂ©dure de sanction ; elle suit une procĂ©dure de nature contradictoire opposant le rapporteur et le mis en cause ; elle applique des rĂšgles de droit et est indĂ©pendante et impartiale.
87. La formation restreinte rappelle que, pour quâun organe puisse adresser une question prĂ©judicielle Ă la CJUE, il doit bĂ©nĂ©ficier de la qualitĂ© de  » juridiction  » au sens de lâarticle 267 TFUE, notion autonome en droit de lâUnion. Pour apprĂ©cier cette qualitĂ©, la CJUE prend en considĂ©ration les critĂšres suivants : origine lĂ©gale de lâorgane, sa permanence, son caractĂšre obligatoire, nature contradictoire de sa procĂ©dure, application des rĂšgles de droit, son indĂ©pendance et nature juridictionnelle de ses dĂ©cisions.
88. La formation restreinte relĂšve quâelle nâest pas qualifiĂ©e de juridiction en droit interne : aucune disposition lĂ©gislative ne lui a reconnu cette qualitĂ©. Si, ainsi que le relĂšvent les sociĂ©tĂ©s, le Conseil dâĂtat a dĂ©jĂ jugĂ© quâ  » eu Ă©gard Ă sa nature, Ă sa composition et Ă ses attributions « , la formation restreinte peut ĂȘtre qualifiĂ©e de  » tribunal  » au sens de lâarticle 6-1 de la Convention europĂ©enne de sauvegarde des droits de lâhomme et des libertĂ©s fondamentales (ci-aprĂšs la  » CESDH « ) (Conseil d’Ătat, juge des rĂ©fĂ©rĂ©s, 19 fĂ©vrier 2008, n° 311974), cette dĂ©cision ne lui reconnaĂźt pas pour autant la qualitĂ© de juridiction.
89. La formation restreinte considĂšre, contrairement Ă ce que soutiennent les sociĂ©tĂ©s, que les critĂšres retenus par la CJUE sur la notion de juridiction au sens de lâarticle 267 TFUE, notamment dans son rĂ©cent arrĂȘt ANESCO (CJUE, 16 sept. 2020, Anesco, C-462/19), ne sont pas remplis par la formation restreinte. En effet, dans cet arrĂȘt, la CJUE a indiquĂ© que,  » force est de constater que les dĂ©cisions que la CNMC [lâautoritĂ© de la concurrence espagnole] est amenĂ©e Ă adopter dans les affaires telles que celle en cause au principal sâapparentent Ă des dĂ©cisions de nature administrative, excluant quâelles soient adoptĂ©es dans lâexercice de fonctions juridictionnelles  » (§41). Or, il en va de mĂȘme sâagissant des dĂ©cisions prises par la formation restreinte, qui sont des dĂ©cisions de nature administrative puisquâil sâagit de dĂ©cisions de sanction qui participent Ă lâeffectivitĂ© de lâaction de la CNIL dans son pouvoir de rĂ©gulation. La dĂ©cision de sanction met fin Ă la procĂ©dure administrative engagĂ©e et un recours contentieux administratif peut ensuite ĂȘtre engagĂ© Ă son encontre devant le Conseil dâĂtat.
90. En outre, la formation restreinte relĂšve que la Cour de cassation a considĂ©rĂ© quâ  » il rĂ©sulte de ces textes du droit de lâUnion europĂ©enne, tels quâinterprĂ©tĂ©s par la Cour de justice de l’Union europĂ©enne, que lâAutoritĂ© de la concurrence nâest pas une juridiction apte Ă lui poser une question prĂ©judicielle en application de l’article 267 du TFUE (CJUE, arrĂȘt du 16 septembre 2020, Anesco, C-462/19, Ă propos de la ComisiĂłn Nacional de los Mercados y la Competencia, autoritĂ© de la concurrence espagnole)  » (Cass. 2Ăšme civ., 30 septembre 2021, n° 20-18.302). Or, lâAutoritĂ© de la concurrence, en tant quâautoritĂ© administrative indĂ©pendante, prĂ©sente de grandes similitudes organisationnelle et procĂ©durale avec la formation restreinte.
91. DĂšs lors, la formation restreinte ne saurait ĂȘtre qualifiĂ©e de juridiction au sens de lâarticle 267 TFUE, de sorte quâelle nâest pas apte Ă poser une question prĂ©judicielle Ă la CJUE.
F. Sur la détermination du responsable de traitement
92. La formation restreinte relĂšve, tout dâabord, que les articles 4, paragraphe 7, et 26, paragraphe 1, du RGPD sont applicables Ă la prĂ©sente procĂ©dure en raison du recours Ă la notion de  » responsable de traitement  » dans lâarticle 82 de la loi  » Informatique et LibertĂ©s « , lequel est justifiĂ© par le renvoi opĂ©rĂ© par lâarticle 2 de la directive  » ePrivacy  » Ă la directive 95/46/CE sur la protection des donnĂ©es personnelles Ă laquelle sâest substituĂ© le RGPD.
93. Aux termes de lâarticle 4, paragraphe 7, du RGPD, le responsable de traitement est  » la personne physique ou morale, lâautoritĂ© publique, le service ou un autre organisme qui, seul ou conjointement avec dâautres, dĂ©termine les finalitĂ©s et les moyens du traitement « . Aux termes de lâarticle 26, paragraphe 1, du RGPD,  » lorsque deux responsables du traitement ou plus dĂ©terminent conjointement les finalitĂ©s et les moyens du traitement, ils sont les responsables conjoints du traitement « .
94. La rapporteure considĂšre que les sociĂ©tĂ©s GIL et GOOGLE LLC sont responsables conjoints du traitement en cause en application de ces dispositions dĂšs lors que les sociĂ©tĂ©s dĂ©terminent toutes les deux les finalitĂ©s et les moyens du traitement consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation moteur de recherche Google Search et de YouTube.
95. Les sociĂ©tĂ©s rĂ©pondent que la sociĂ©tĂ© GIL serait seule responsable des traitements de donnĂ©es Ă caractĂšre personnel des utilisateurs situĂ©s dans lâespace Ă©conomique europĂ©en et en Suisse.
96. La formation restreinte rappelle, que la CJUE sâest prononcĂ©e, Ă plusieurs reprises, sur la notion de responsabilitĂ© conjointe du traitement, notamment dans son arrĂȘt TĂ©moins de JĂ©hovah. Aux termes de celui-ci, elle a considĂ©rĂ© que, selon les dispositions de lâarticle 2, sous d), de la directive 95/46 sur la protection des donnĂ©es personnelles,  » la notion de  » responsable du traitement  » vise la personne physique ou morale qui,  » seule ou conjointement avec dâautres « , dĂ©termine les finalitĂ©s et les moyens du traitement de donnĂ©es Ă caractĂšre personnel. Cette notion ne renvoie, dĂšs lors, pas nĂ©cessairement Ă une personne physique ou morale unique et peut concerner plusieurs acteurs participant Ă ce traitement, chacun dâentre eux devant alors ĂȘtre soumis aux dispositions applicables en matiĂšre de protection des donnĂ©es [âŠ]. Lâobjectif de cette disposition Ă©tant dâassurer, par une dĂ©finition large de la notion de  » responsable « , une protection efficace et complĂšte des personnes concernĂ©es, lâexistence dâune responsabilitĂ© conjointe ne se traduit pas nĂ©cessairement par une responsabilitĂ© Ă©quivalente, pour un mĂȘme traitement de donnĂ©es Ă caractĂšre personnel, des diffĂ©rents acteurs. Au contraire, ces acteurs peuvent ĂȘtre impliquĂ©s Ă diffĂ©rents stades de ce traitement et selon diffĂ©rents degrĂ©s, de telle sorte que le niveau de responsabilitĂ© de chacun dâentre eux doit ĂȘtre Ă©valuĂ© en tenant compte de toutes les circonstances pertinentes du cas dâespĂšce  » (CJUE, 10 juillet 2018, C 25/17, pts. 65 et 66).
97. La formation restreinte considĂšre que ces dĂ©veloppements permettent dâĂ©clairer utilement la notion de responsabilitĂ© de traitement conjointe invoquĂ©e par la rapporteure Ă lâĂ©gard des sociĂ©tĂ©s GOOGLE LLC et GIL concernĂ©es par les traitements en cause.
98. La formation restreinte souligne, enfin, que si la prĂ©sente procĂ©dure ne porte pas sur les mĂȘmes faits que ceux Ă©voquĂ©s dans le cadre de la dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020 pour les raisons dĂ©veloppĂ©es ci-avant, elle concerne toujours les opĂ©rations de lecture et dâĂ©criture mises en Ćuvre dans le terminal de lâutilisateur situĂ© en France par les sociĂ©tĂ©s GOOGLE LLC et GIL, pour lesquelles le rĂŽle des deux sociĂ©tĂ©s a dĂ©jĂ Ă©tĂ© examinĂ© par la formation restreinte dans la dĂ©libĂ©ration Ă©voquĂ©e ci-dessus.
99. La formation restreinte rappelle par ailleurs quâelle a, dans cette mĂȘme dĂ©libĂ©ration du 7dĂ©cembre 2020, considĂ©rĂ© que les sociĂ©tĂ©s GOOGLE LLC et GIL dĂ©terminent conjointement les finalitĂ©s et les moyens du traitement consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation du moteur de recherche Google Search (pts. 47 Ă 66 de la dĂ©libĂ©ration). Elle estime que ce constat est toujours valable Ă la date de la prĂ©sente dĂ©libĂ©ration et peut ĂȘtre Ă©tendu aux cookies utilisĂ©s sur le site  » youtube.com « , comme le dĂ©montrent les Ă©lĂ©ments dĂ©veloppĂ©s ci-aprĂšs.
1. Sur la responsabilité de la société GIL
100. Les sociétés soutiennent que la société GIL agit en qualité de responsable des traitements en cause, ce que considÚre également la rapporteure.
101. La formation restreinte partage cette analyse.
102. En premier lieu, elle relĂšve quâelle a retenu dans sa dĂ©libĂ©ration n° SAN-2020-012, que  » les reprĂ©sentants des sociĂ©tĂ©s ont dĂ©clarĂ© que la sociĂ©tĂ© GIL  » participe au dĂ©veloppement et Ă la supervision des politiques internes qui guident les produits et leur conception, Ă la mise en place des paramĂštres, Ă la dĂ©termination des rĂšgles de confidentialitĂ© et Ă toutes les vĂ©rifications rĂ©alisĂ©es avant le lancement des produits, en application du principe  » privacy by design  » « .
103. En second lieu, elle rappelle quâelle a Ă©galement soulignĂ© que,  » sâagissant plus particuliĂšrement des cookies, les reprĂ©sentants ont dĂ©clarĂ© [âŠ] que  » GIL applique, par exemple, des durĂ©es de conservation des cookies plus courtes  » par rapport Ă dâautres rĂ©gions du monde et quâelle  » limite lâĂ©tendue des traitements liĂ©s Ă la personnalisation de la publicitĂ© en Europe par rapport au reste du monde. Par exemple, GIL nâutilise pas certaines catĂ©gories de donnĂ©es pour effectuer de la publicitĂ© personnalisĂ©e telles que les ressources du foyer supposĂ©es. La sociĂ©tĂ© GIL ne met pas en place de publicitĂ© personnalisĂ©e pour les enfants dont elle suppose quâils sont mineurs au sens du RGPD « .
104. La formation restreinte en a conclu que  » la sociĂ©tĂ© GIL est, au moins pour partie, responsable du traitement contrĂŽlĂ© consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation du moteur de recherche Google Search « .
105. La formation restreinte considĂšre quâaucune modification du rĂŽle de la sociĂ©tĂ© GIL nâapparaĂźt avoir eu lieu depuis ce rĂ©cent constat, qui demeure donc valable. Elle considĂšre quâil en va de mĂȘme sâagissant du site  » youtube.com  » dĂšs lors que, dans les conditions dâutilisation de Google, accessibles Ă la fois via les sites  » google.fr  » et  » youtube.com « , il est indiquĂ© de maniĂšre identique que :  » Dans l’Espace Ă©conomique europĂ©en (EEE) et en Suisse, les services Google vous sont fournis par la sociĂ©tĂ© ci-dessous avec laquelle vous concluez un contrat : Google Ireland Limited « .
106. Ainsi, la sociĂ©tĂ© GIL est, au moins pour partie, responsable des traitements consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation du moteur de recherche Google Search et de YouTube.
2. Sur la responsabilité de la société GOOGLE LLC
107. Les sociĂ©tĂ©s contestent lâanalyse de la rapporteure selon laquelle la sociĂ©tĂ© GOOGLE LLC partagerait la responsabilitĂ© des traitements en cause avec la sociĂ©tĂ© GIL.
108. La formation restreinte a déjà pris position à ce sujet, dans sa délibération n° SAN-2020-012 du 7 décembre 2020.
109. En premier lieu, elle avait relevĂ© que, lors de lâaudition du 22 juillet 2020, les reprĂ©sentants des sociĂ©tĂ©s avaient affirmĂ© que la sociĂ©tĂ© GOOGLE LLC  » conçoit et construit la technologie des produits Google et quâen ce qui concerne les cookies dĂ©posĂ©s et lus lors de lâutilisation du moteur de recherche Google Search, il nâexiste aucune diffĂ©rence de technologies entre les cookies dĂ©posĂ©s Ă partir des diffĂ©rentes versions du moteur de recherche. De mĂȘme, les sociĂ©tĂ©s, dans lâinformation quâelles proposent aux utilisateurs français dans les rĂšgles dâutilisation accessibles depuis  » google.fr « , nâopĂšrent aucune distinction dans leur prĂ©sentation des cookies utilisĂ©s par le groupe GOOGLE dĂšs lors quâelles indiquent utiliser  » diffĂ©rents types de cookies pour les produits associĂ©s aux annonces et les sites Web de Google  » « , ce qui inclut bien Ă©galement le site  » youtube.com  » selon la formation restreinte.
110. Elle relĂšve quâaujourdâhui encore, il nâexiste aucune diffĂ©rence dans la prĂ©sentation des cookies utilisĂ©s par Google (information fournie aux utilisateurs français Ă partir de lâonglet  » Technologies « ,  » comment Google utilise les cookies « , aprĂšs avoir cliquĂ© sur le bouton  » conditions dâutilisation « , accessible tant sur  » google.fr  » que sur  » youtube.com « ). La sociĂ©tĂ©  » dĂ©crit les types de cookies utilisĂ©s par Google « , prĂ©cisant que  » une partie ou l’ensemble des cookies dĂ©crits ci-dessous peuvent ĂȘtre stockĂ©s dans votre navigateur « . La formation restreinte relĂšve Ă©galement que les rĂšgles de confidentialitĂ© accessibles tant depuis  » google.fr  » que depuis  » youtube.com  » confirment ce point dĂšs lors quâil est indiquĂ© que  » Les prĂ©sentes RĂšgles de confidentialitĂ© s’appliquent Ă tous les services proposĂ©s par Google LLC et par ses sociĂ©tĂ©s affiliĂ©es, y compris YouTube et Android, ainsi qu’aux services proposĂ©s sur des sites tiers, tels que les services publicitaires « .
111. Ainsi, dans lâinformation quâelles proposent aux utilisateurs français, les sociĂ©tĂ©s GOOGLE LLC et GIL nâopĂšrent toujours aucune distinction dans leur prĂ©sentation des cookies utilisĂ©s par le groupe GOOGLE.
112. En deuxiĂšme lieu, la formation restreinte avait Ă©galement relevĂ©, dans sa dĂ©libĂ©ration prĂ©citĂ©e, que  » malgrĂ© la participation non contestable de la sociĂ©tĂ© GIL aux diffĂ©rentes Ă©tapes et instances liĂ©es Ă la dĂ©finition des modalitĂ©s de mise en Ćuvre des cookies dĂ©posĂ©s sur Google Search, lâorganisation matricielle dĂ©crite par les sociĂ©tĂ©s [âŠ] a mis en Ă©vidence que la sociĂ©tĂ© GOOGLE LLC est Ă©galement reprĂ©sentĂ©e dans les organes adoptant les dĂ©cisions relatives au dĂ©ploiement des produits au sein de lâEEE et en Suisse et aux traitements de donnĂ©es Ă caractĂšre personnel des utilisateurs y rĂ©sidant et quâelle y exerce une influence significative  » ou encore que  » le dĂ©lĂ©guĂ© Ă la protection des donnĂ©es dĂ©signĂ© par la sociĂ©tĂ© GIL [âŠ] ainsi que ses DPO adjoints sont basĂ©s en Californie en qualitĂ© dâemployĂ©s de la sociĂ©tĂ© GOOGLE LLC « .
113. En troisiĂšme lieu, la formation restreinte avait considĂ©rĂ© que,  » bien quâen vertu dâune lecture formelle du contrat de sous-traitance du 11 dĂ©cembre 2018, la sociĂ©tĂ© GOOGLE LLC agirait en qualitĂ© de sous-traitant de la sociĂ©tĂ© GIL dans le traitement des donnĂ©es des utilisateurs europĂ©ens recueillies via les cookies, lâimplication rĂ©elle de la sociĂ©tĂ© GOOGLE LLC dans le traitement en cause va bien au-delĂ de celle dâun sous-traitant qui se contenterait de procĂ©der Ă des opĂ©rations de traitement pour le compte de la sociĂ©tĂ© GIL et sur ses seules instructions « .
114. Au vu des Ă©lĂ©ments au dossier, la formation restreinte maintient que la sociĂ©tĂ© GOOGLE LLC joue un rĂŽle fondamental dans lâensemble du processus dĂ©cisionnel portant sur les traitements en cause. Elle dĂ©termine Ă©galement les moyens des traitements Ă©tant donnĂ© que, comme Ă©voquĂ© ci-avant, câest elle qui conçoit et construit la technologie des cookies dĂ©posĂ©s sur les terminaux des utilisateurs europĂ©ens. La formation restreinte relĂšve que, si elle ne sâĂ©tait prononcĂ©e que sâagissant du moteur de recherche Google Search dans sa dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, elle considĂšre que le mĂȘme raisonnement est applicable, sur la base de ces mĂȘmes Ă©lĂ©ments, pour YouTube, notamment dans la mesure oĂč, lorsque lâutilisateur clique sur  » RĂšgles de confidentialitĂ©  » et  » conditions dâutilisation  » Ă partir de  » youtube.com « , il est renvoyĂ© vers les rĂšgles de confidentialitĂ© et conditions dâutilisation du groupe GOOGLE.
115. Il rĂ©sulte de lâensemble de ce qui prĂ©cĂšde que les sociĂ©tĂ©s GOOGLE LLC et GIL dĂ©terminent conjointement les finalitĂ©s et les moyens du traitement consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation du moteur de recherche Google Search et de YouTube.
G. Sur le manquement aux obligations en matiĂšre de cookies
116. Aux termes de lâarticle 82 de la loi  » Informatique et LibertĂ©s « ,  » tout abonnĂ© ou utilisateur d’un service de communications Ă©lectroniques doit ĂȘtre informĂ© de maniĂšre claire et complĂšte, sauf s’il l’a Ă©tĂ© au prĂ©alable, par le responsable du traitement ou son reprĂ©sentant :
1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;
2° Des moyens dont il dispose pour s’y opposer.
Ces accĂšs ou inscriptions ne peuvent avoir lieu qu’Ă condition que l’abonnĂ© ou la personne utilisatrice ait exprimĂ©, aprĂšs avoir reçu cette information, son consentement qui peut rĂ©sulter de paramĂštres appropriĂ©s de son dispositif de connexion ou de tout autre dispositif placĂ© sous son contrĂŽle. [âŠ] « .
117. La directive  » ePrivacy  » prĂ©voit quant Ă elle en son article 2, f), que le consentement dâun utilisateur ou dâun abonnĂ© correspond au consentement de la personne concernĂ©e figurant dans la directive 95/46/CE, Ă laquelle sâest substituĂ© le RGPD.
118. Ainsi, depuis lâentrĂ©e en application du RGPD, le  » consentement  » prĂ©vu Ă lâarticle 82 prĂ©citĂ© doit sâentendre au sens de lâarticle 4, paragraphe 11, du RGPD, câest-Ă -dire quâil doit ĂȘtre donnĂ© de maniĂšre libre, spĂ©cifique, Ă©clairĂ©e et univoque et se manifester par un acte positif clair.
119. Ă cet Ă©gard, le considĂ©rant 42 de ce RĂšglement prĂ©voit que :  » le consentement ne devrait pas ĂȘtre considĂ©rĂ© comme ayant Ă©tĂ© donnĂ© librement si la personne concernĂ©e ne dispose pas d’une vĂ©ritable libertĂ© de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de prĂ©judice « .
120. En lâespĂšce, dans le cadre du contrĂŽle en ligne du 1er juin 2021, la dĂ©lĂ©gation a constatĂ© que, pour donner son consentement Ă la lecture et/ou Ă lâĂ©criture dâinformations dans son terminal, lâutilisateur se rendant sur la page dâaccueil des sites  » google.fr  » et  » youtube.com  » doit uniquement cliquer sur le bouton  » Jâaccepte  » de la fenĂȘtre surgissante, ce qui fait disparaĂźtre cette fenĂȘtre et lui permet de poursuivre sa navigation. En revanche, lâutilisateur se rendant sur ces mĂȘmes pages dâaccueil et souhaitant refuser les cookies doit cliquer sur le bouton  » Personnaliser  » de cette premiĂšre fenĂȘtre, ce qui le fait accĂ©der, Ă la fois sur les sites  » google.fr  » et  » youtube.com « , Ă une interface lui proposant de choisir dâactiver ou de dĂ©sactiver les cookies, sur laquelle il a la possibilitĂ© dâeffectuer diffĂ©rentes actions.
121. La rapporteure relĂšve, Ă titre dâĂ©clairage, quâaux termes de ses lignes directrices 5/2020 sur le consentement au sens du RĂšglement (UE) 2016/679, adoptĂ©es le 4 mai 2020, le CEPD a rappelĂ© que  » lâadjectif  » libre  » implique un choix et un contrĂŽle rĂ©el pour les personnes concernĂ©es  » (§13).
122. De mĂȘme, dans le cadre de sa dĂ©libĂ©ration n° 2020-092 du 17 septembre 2020 portant adoption dâune recommandation proposant des modalitĂ©s pratiques de mise en conformitĂ© en cas de recours aux  » cookies et autres traceurs « , la Commission a considĂ©rĂ©, compte tenu des textes applicables prĂ©citĂ©s, que  » le responsable de traitement doit offrir aux utilisateurs tant la possibilitĂ© dâaccepter que de refuser les opĂ©rations de lecture et/ou dâĂ©criture avec le mĂȘme degrĂ© de simplicitĂ© « .
123. Sur le fondement des constatations effectuĂ©es dans le cadre du contrĂŽle en ligne, la rapporteure observe ainsi que, si le bandeau affichĂ© sur les sites  » google.fr  » et  » youtube.com  » contient un bouton permettant dâaccepter immĂ©diatement les cookies, aucun moyen analogue nâest offert Ă lâutilisateur pour pouvoir refuser, aussi facilement, le dĂ©pĂŽt de ces cookies. Pour refuser les cookies, il doit effectuer au moins cinq actions (le premier clic sur le bouton  » Personnaliser « , puis un clic sur chacun des trois boutons pour sĂ©lectionner  » DĂ©sactivĂ©  » – chaque bouton correspondant Ă la  » personnalisation de la recherche « , lâ » historique YouTube  » et la  » personnalisation des annonces  » – et enfin un clic sur  » Confirmer « ), contre une seule action pour les accepter. Un tel mĂ©canisme ne prĂ©sente donc pas, selon la rapporteure, la mĂȘme facilitĂ© que celle permettant dâexprimer son consentement, en mĂ©connaissance des exigences lĂ©gales de libertĂ© du consentement, qui impliquent de ne pas inciter lâinternaute Ă accepter les cookies plutĂŽt quâĂ les refuser. Elle considĂšre ainsi que rendre le mĂ©canisme de refus des cookies plus complexe que celui consistant Ă les accepter, revient en rĂ©alitĂ© Ă dĂ©courager les utilisateurs de refuser les cookies et Ă les inciter Ă privilĂ©gier la facilitĂ© du bouton  » jâaccepte « . La rapporteure en conclut que les modalitĂ©s de refus des cookies mises en Ćuvre par les sociĂ©tĂ©s GOOGLE LLC et GIL sur les sites  » google.fr  » et  » youtube.com  » ne sont pas conformes aux dispositions de lâarticle 82 de la loi  » Informatique et LibertĂ©s  » telles quâĂ©clairĂ©es par les exigences renforcĂ©es en matiĂšre de consentement posĂ©es par le RGPD.
124. Les sociĂ©tĂ©s considĂšrent que ni la directive  » ePrivacy « , ni le RGPD, ni lâarticle 82 de la loi  » Informatique et LibertĂ©s  » ne prĂ©voient que lâaction de refuser les cookies doit ĂȘtre aussi simple que de les accepter. Elles ajoutent que, pendant de nombreuses annĂ©es, la CNIL nâavait elle-mĂȘme pas dĂ©duit ce principe alors mĂȘme que la rĂ©glementation en cause demeurait inchangĂ©e depuis lâentrĂ©e en application du RGPD. Elles relĂšvent que la CNIL ne saurait, au travers de ses lignes directrices et recommandation, introduire de nouvelles exigences relatives au refus de consentement et considĂšrent quâil appartient Ă chaque responsable de traitement de choisir la modalitĂ© de recueil du consentement la plus appropriĂ©e. En cela, les sociĂ©tĂ©s considĂšrent que le mĂ©canisme de recueil du consentement mis en place sur les sites  » google.fr  » et  » youtube.com  » respecte dâores et dĂ©jĂ les dispositions de lâarticle 82 de la loi  » Informatique et LibertĂ©s « . Les sociĂ©tĂ©s considĂšrent que le fait de ne pas proposer, au premier niveau dâinformation, un bouton  » Tout refuser  » nâest pas contraire au principe de libertĂ© du consentement dans la mesure oĂč les utilisateurs ont bien la possibilitĂ© de refuser les cookies en cliquant sur le bouton  » Personnaliser « .
125. En premier lieu, la formation restreinte rappelle quâen application de lâarticle 8 I, 2°, b) de la loi  » Informatique et LibertĂ©s « , la CNIL  » Ă©tablit et publie des lignes directrices, recommandations ou rĂ©fĂ©rentiels destinĂ©s Ă faciliter la mise en conformitĂ© des traitements de donnĂ©es Ă caractĂšre personnel avec les textes relatifs Ă la protection des donnĂ©es Ă caractĂšre personnel [âŠ] « .
126. Câest dans ce cadre que la CNIL a pris la dĂ©libĂ©ration n° 2019-093 du 4 juillet 2019 portant adoption de lignes directrices relatives Ă lâapplication de lâarticle 82 de la loi du 6 janvier 1978 modifiĂ©e aux opĂ©rations de lecture ou Ă©criture dans le terminal dâun utilisateur (notamment aux cookies et autres traceurs), qui prĂ©voyait en son article 2,  » quâil doit ĂȘtre aussi facile de refuser ou de retirer son consentement que de le donner  » ; puis les dĂ©libĂ©rations n° 2020-091 du 17 septembre 2020 portant adoption de lignes directrices relatives Ă lâapplication de lâarticle 82 de la loi du 6 janvier 1978 modifiĂ©e aux opĂ©rations de lecture et/ou dâĂ©criture dans le terminal dâun utilisateur (notamment aux  » cookies et autres traceurs « ) et n° 2020-092 portant adoption dâune recommandation proposant des modalitĂ©s pratiques de mise en conformitĂ© en cas de recours aux  » cookies et autres traceurs « . Ces instruments visent Ă interprĂ©ter les dispositions lĂ©gislatives applicables et Ă Ă©clairer les acteurs sur la mise en place de mesures concrĂštes permettant de garantir le respect de ces dispositions, afin quâils mettent en Ćuvre ces mesures ou des mesures dâeffet Ă©quivalent. En ce sens, il est prĂ©cisĂ© dans les lignes directrices que celles-ci  » ont pour objet principal de rappeler et dâexpliciter le droit applicable aux opĂ©rations de lecture et/ou dâĂ©criture dâinformations [âŠ] dans lâĂ©quipement terminal de communications Ă©lectroniques de lâabonnĂ© ou de lâutilisateur, et notamment Ă lâusage des tĂ©moins de connexion « .
127. Comme indiquĂ© ci-avant, la Commission a considĂ©rĂ©, dans le cadre de sa recommandation du 17 septembre 2020, que  » le responsable de traitement doit offrir aux utilisateurs tant la possibilitĂ© dâaccepter que de refuser les opĂ©rations de lecture et/ou dâĂ©criture avec le mĂȘme degrĂ© de simplicitĂ© « .
128. Sâagissant des modalitĂ©s de refus possibles, dans cette mĂȘme recommandation, la Commission a prĂ©conisĂ©  » fortement que le mĂ©canisme permettant dâexprimer un refus de consentir aux opĂ©rations de lecture et/ou dâĂ©criture soit accessible sur le mĂȘme Ă©cran et avec la mĂȘme facilitĂ© que le mĂ©canisme permettant d’exprimer un consentement. En effet, elle estime que les interfaces de recueil du consentement qui nĂ©cessitent un seul clic pour consentir au traçage tandis que plusieurs actions sont nĂ©cessaires pour  » paramĂ©trer  » un refus de consentir prĂ©sentent, dans la plupart des cas, le risque de biaiser le choix de lâutilisateur, qui souhaite pouvoir visualiser le site ou utiliser lâapplication rapidement.
Par exemple, au stade du premier niveau dâinformation, les utilisateurs peuvent avoir le choix entre deux boutons prĂ©sentĂ©s au mĂȘme niveau et sur le mĂȘme format, sur lesquels sont inscrits respectivement  » tout accepter  » et  » tout refuser « ,  » autoriser  » et  » interdire « , ou  » consentir  » et  » ne pas consentir « , ou toute autre formulation Ă©quivalente et suffisamment claire. La Commission considĂšre que cette modalitĂ© constitue un moyen simple et clair pour permettre Ă lâutilisateur dâexprimer son refus aussi facilement que son consentement « .
129. La formation restreinte considĂšre que la CNIL sâest bornĂ©e, dans sa recommandation Ă©voquĂ©e ci-dessus, Ă Ă©clairer les obligations prĂ©vues par les lĂ©gislateurs français et europĂ©en, en tirant notamment toutes les consĂ©quences du principe de libertĂ© du consentement tel que dĂ©fini Ă lâarticle 4, paragraphe 11, du RGPD, et en les appliquant aux hypothĂšses de lâacceptation et du refus par lâutilisateur au dĂ©pĂŽt de cookies sur son terminal. En effet, ce principe de libertĂ© du consentement implique dĂ©sormais que lâutilisateur bĂ©nĂ©ficie dâune  » vĂ©ritable libertĂ© de choix « , comme soulignĂ© au considĂ©rant 42 du RGPD, et donc que les modalitĂ©s qui lui sont proposĂ©es pour manifester ce choix ne soient pas biaisĂ©es en faveur du consentement. Ainsi que le CEPD lâa rappelĂ© dans ses lignes directrices sur le consentement, adoptĂ©es le 4 mai 2020, lâadjectif  » libre  » implique un choix et un contrĂŽle rĂ©el pour les personnes concernĂ©es.
130. Il apparaĂźt ainsi que la CNIL nâa pas crĂ©Ă© dans sa recommandation de nouvelles obligations Ă la charge des acteurs mais sâest bornĂ©e Ă illustrer concrĂštement comment lâarticle 82 de la loi doit trouver Ă sâappliquer.
131. En deuxiĂšme lieu, la formation restreinte relĂšve que la position de la CNIL sur ce point, selon laquelle il doit ĂȘtre aussi simple pour les utilisateurs de refuser les cookies que dây consentir, figurait dĂ©jĂ Ă lâarticle 2 des lignes directrices du 4 juillet 2019 – abrogĂ©es par celles du 17 septembre 2020 – et quâelle a Ă©tĂ© entĂ©rinĂ©e par le Conseil dâĂtat. En effet, saisi dâun recours pour excĂšs de pouvoir formĂ© contre ces premiĂšres lignes directrices, le Conseil dâĂtat a jugĂ©, dans sa dĂ©cision Association des agences-conseils en communication, que  » la CNIL qui, en indiquant quâil devait « ĂȘtre aussi facile de refuser ou de retirer son consentement que de le donner », sâest bornĂ©e Ă caractĂ©riser les conditions du refus de lâutilisateur, sans dĂ©finir de modalitĂ©s techniques particuliĂšres dâexpression dâun tel refus, nâa entachĂ© sa dĂ©libĂ©ration dâaucune mĂ©connaissance des rĂšgles applicables en la matiĂšre  » (CE, 19 juin 2020, n° 434684, T., pt 15).
132. La formation restreinte considĂšre que cette lecture sâimpose dâautant plus au regard des conclusions du rapporteur public sur cet arrĂȘt, lequel relevait :  » Comme lâindique la CNIL, les lignes directrices attaquĂ©es nâimposent aucune modalitĂ© technique de recueil de ce refus. Elles se bornent Ă exiger, de maniĂšre gĂ©nĂ©rale et Ă juste titre, quâil ne soit pas plus compliquĂ© de refuser que dâaccepter  » (CE, conclusions du rapporteur public sur lâarrĂȘt n° 434684, p. 17).
133. En troisiĂšme lieu, la formation relĂšve quâen lâespĂšce, les utilisateurs rĂ©sidant en France se rendant sur le moteur de recherche Google Search et/ou sur YouTube doivent effectuer une seule action pour accepter les cookies, alors quâils doivent en effectuer cinq pour les refuser. Il nâest donc pas aussi simple de refuser les cookies que de les accepter.
134. Or, il ressort de plusieurs Ă©tudes rĂ©centes que les organismes ayant mis en place un bouton  » tout refuser  » sur lâinterface de recueil du consentement au premier niveau ont vu le taux de consentement relatif Ă lâacceptation des cookies diminuer. Ainsi, selon le  » baromĂštre Privacy â Ă©dition 2021  » publiĂ© par la sociĂ©tĂ© COMMANDERS ACT, le taux de consentement sur ordinateur est passĂ© de 70% Ă 55% en avril-mai 2021, depuis que la collecte du consentement est explicite. De mĂȘme, selon une Ă©tude 366-Kantar, il apparaĂźt que 41% des internautes en France ont refusĂ©, systĂ©matiquement ou partiellement, le dĂ©pĂŽt de cookies en juin 2021.
135. La formation restreinte considĂšre ainsi que le fait de rendre le mĂ©canisme de refus des cookies plus complexe que celui consistant Ă les accepter revient en rĂ©alitĂ© Ă dĂ©courager les utilisateurs de refuser les cookies et Ă les inciter Ă privilĂ©gier la facilitĂ© du bouton  » Tout accepter « . En effet, un utilisateur dâinternet est gĂ©nĂ©ralement conduit Ă consulter de nombreux sites. La navigation sur internet se caractĂ©rise par sa rapiditĂ© et sa fluiditĂ©. Le fait de devoir cliquer sur  » Personnaliser  » et de devoir comprendre la façon dont est construite la page permettant de refuser les cookies est susceptible de dĂ©courager lâutilisateur, qui souhaiterait pourtant refuser le dĂ©pĂŽt des cookies. Il nâest pas contestĂ© quâen lâespĂšce, les sociĂ©tĂ©s offrent un choix entre lâacceptation ou le refus des cookies, mais les modalitĂ©s par lesquelles ce refus peut ĂȘtre exprimĂ©, dans le contexte de la navigation sur internet, biaise lâexpression du choix en faveur du consentement de façon Ă altĂ©rer la libertĂ© de choix.
136. Au regard de ce qui prĂ©cĂšde, la formation restreinte considĂšre quâun manquement aux dispositions de lâarticle 82 de la loi  » Informatique et LibertĂ©s « , interprĂ©tĂ©es Ă la lumiĂšre du RGPD, est constituĂ©, dans la mesure oĂč les sociĂ©tĂ©s ne mettent pas Ă disposition des utilisateurs situĂ©s en France, sur les sites internet  » google.fr  » et  » youtube.com « , un moyen de refuser les opĂ©rations de lecture et/ou dâĂ©criture dâinformations dans leur terminal prĂ©sentant le mĂȘme degrĂ© de simplicitĂ© que celui prĂ©vu pour en accepter lâusage.
III. Sur les mesures correctrices et la publicité
137. Lâarticle 20, paragraphe III, de la loi  » Informatique et LibertĂ©s  » dispose :  » Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations rĂ©sultant du rĂšglement (UE) 2016/679 du Parlement europĂ©en et du Conseil du 27 avril 2016 prĂ©citĂ© ou de la prĂ©sente loi, le prĂ©sident de la Commission nationale de lâinformatique et des libertĂ©s peut Ă©galement, le cas Ă©chĂ©ant aprĂšs lui avoir adressĂ© lâavertissement prĂ©vu au I du prĂ©sent article ou, le cas Ă©chĂ©ant en complĂ©ment dâune mise en demeure prĂ©vue au II, saisir la formation restreinte de la commission en vue du prononcĂ©, aprĂšs procĂ©dure contradictoire, de lâune ou de plusieurs des mesures suivantes : [âŠ]
2° Une injonction de mettre en conformitĂ© le traitement avec les obligations rĂ©sultant du rĂšglement (UE) 2016/679 du 27 avril 2016 ou de la prĂ©sente loi ou de satisfaire aux demandes prĂ©sentĂ©es par la personne concernĂ©e en vue d’exercer ses droits, qui peut ĂȘtre assortie, sauf dans des cas oĂč le traitement est mis en Ćuvre par l’Etat, d’une astreinte dont le montant ne peut excĂ©der 100 000 ⏠par jour de retard Ă compter de la date fixĂ©e par la formation restreinte ; [âŠ]
7° A l’exception des cas oĂč le traitement est mis en Ćuvre par l’Etat, une amende administrative ne pouvant excĂ©der 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice prĂ©cĂ©dent, le montant le plus Ă©levĂ© Ă©tant retenu. [âŠ] La formation restreinte prend en compte, dans la dĂ©termination du montant de l’amende, les critĂšres prĂ©cisĂ©s au mĂȘme article 83 « .
138. Lâarticle 83 du RGPD, tel que visĂ© par lâarticle 20, paragraphe III, de la loi  » Informatique et LibertĂ©s « , prĂ©voit quant Ă lui que  » Chaque autoritĂ© de contrĂŽle veille Ă ce que les amendes administratives imposĂ©es en vertu du prĂ©sent article pour des violations du prĂ©sent rĂšglement visĂ©es aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnĂ©es et dissuasives « , avant de prĂ©ciser les Ă©lĂ©ments devant ĂȘtre pris en compte pour dĂ©cider sâil y a lieu dâimposer une amende administrative et pour dĂ©cider du montant de cette amende.
A. Sur le prononcĂ© dâamendes administratives et leur montant
139. Les sociĂ©tĂ©s font valoir que le montant des amendes proposĂ©es par la rapporteure est imprĂ©visible, disproportionnĂ© et injustifiĂ©. Elles contestent le fait que, contrairement Ă dâautres autoritĂ©s administratives françaises ou europĂ©ennes disposant dâun pouvoir de sanction, la CNIL nâa pas fourni de lignes directrices pour le calcul de ses amendes. Les sociĂ©tĂ©s ajoutent par ailleurs que la rapporteure nâexplique pas la rĂ©partition du montant de lâamende entre GOOGLE LLC et GIL.
140. En outre, les sociĂ©tĂ©s soutiennent quâen refusant dâengager des discussions avec elles, la rapporteure les a privĂ©es de la possibilitĂ© de coopĂ©rer avec la CNIL, et, partant, de se prĂ©valoir de la circonstance attĂ©nuante de lâarticle 83-2 f) du RGPD pour rĂ©duire le montant de lâamende.
141. La formation restreinte rappelle, Ă titre gĂ©nĂ©ral, que lâarticle 20, paragraphe III, de la loi  » Informatique et LibertĂ©s  » lui donne compĂ©tence pour prononcer diverses sanctions, notamment des amendes administratives dont le montant maximal peut ĂȘtre, en lâespĂšce, Ă©quivalant Ă 2 % du chiffre d’affaires annuel mondial total de lâexercice prĂ©cĂ©dent rĂ©alisĂ© par le responsable de traitement. Elle ajoute que la dĂ©termination du montant de ces amendes sâapprĂ©cie au regard des critĂšres prĂ©cisĂ©s par lâarticle 83 du RGPD.
142. La formation restreinte relĂšve que le rapporteur nâest pas tenu de prĂ©ciser la maniĂšre dont les amendes quâelle propose Ă la formation restreinte sont calculĂ©es. Le Conseil dâĂtat a dâailleurs jugĂ© que la formation restreinte nâĂ©tait pas soumise Ă cette obligation (CE, 10e/9e, 19 juin 2020, req. n° 430810). La formation restreinte relĂšve que les juridictions europĂ©ennes partagent cette position, puisquâelles ont dĂ©jĂ jugĂ© quâ » il nâincomb[e] pas Ă la Commission au titre de lâobligation de motivation, dâindiquer dans sa dĂ©cision les Ă©lĂ©ments chiffrĂ©s relatifs au mode de calcul des amendes  » (arrĂȘt de la Cour du 16 novembre 2000, Stora Kopparbergs Bergslags/Commission, Câ286/98 P, Rec. p. Iâ9925, point 66). La jurisprudence exige uniquement que la formation de sanction fasse  » apparaĂźtre de façon claire et dĂ©taillĂ©e le raisonnement quâelle a suivi, permettant ainsi Ă la requĂ©rante de connaĂźtre les Ă©lĂ©ments dâapprĂ©ciation pris en compte pour mesurer la gravitĂ© de lâinfraction aux fins du calcul du montant de lâamende et au Tribunal dâexercer son contrĂŽle  » (arrĂȘt du Tribunal de premiĂšre instance, troisiĂšme chambre, 8 juillet 2008, BPB plc contre Commission des CommunautĂ©s europĂ©ennes, arrĂȘt ECLI:EU:T:2008:254, paragraphe 337, recueil de la jurisprudence 008 II-01333). Cette position est justifiĂ©e, dâune part, par le fait que  » les amendes constituent un instrument de la politique  » dâune institution  » qui doit pouvoir disposer dâune marge dâapprĂ©ciation dans la fixation de leur montant afin dâorienter le comportement des entreprises dans le sens du respect des rĂšgles  » et, dâautre part, parce quâ » il importe dâĂ©viter que les amendes ne soient facilement prĂ©visibles par les opĂ©rateurs Ă©conomiques. En effet, si la Commission avait lâobligation dâindiquer dans sa dĂ©cision les Ă©lĂ©ments chiffrĂ©s relatifs au mode de calcul du montant des amendes, il serait portĂ© atteinte Ă lâeffet dissuasif de celles-ci. Si le montant de lâamende Ă©tait le rĂ©sultat dâun calcul obĂ©issant Ă une simple formule arithmĂ©tique, les entreprises auraient la possibilitĂ© de prĂ©voir lâĂ©ventuelle sanction et de la comparer aux bĂ©nĂ©fices quâelles tireraient de lâinfraction aux rĂšgles du droit « .
143. En premier lieu, la formation restreinte souligne quâil convient, en lâespĂšce, de faire application du critĂšre prĂ©vu Ă lâalinĂ©a a) de lâarticle 83, paragraphe 2, du RGPD relatif Ă la gravitĂ© du manquement compte tenu de la nature, de la portĂ©e du traitement et du nombre de personnes concernĂ©es par ce dernier.
144. La formation restreinte relĂšve que, si les sociĂ©tĂ©s GIL et GOOGLE LLC ont refusĂ© de communiquer la volumĂ©trie du nombre de visiteurs uniques Ă partir des sites  » google.fr  » et  » youtube.com  » au cours des douze derniers mois depuis la France, il ressort des chiffres disponibles sur internet quâen juin 2020, Google comptait plus de 51 millions de visiteurs uniques rĂ©sidant en France par mois et YouTube plus de 46 millions (communiquĂ© de presse du 24 aoĂ»t 2020 publiĂ© sur le site web de MĂ©diamĂ©trie). Le nombre de personnes concernĂ©es par les traitements en cause est ainsi extrĂȘmement important Ă lâĂ©chelle de la population française.
145. Ainsi que la formation restreinte lâa rappelĂ© dans sa dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, lâAutoritĂ© de la concurrence a relevĂ© que, sur le marchĂ© français de la publicitĂ© en ligne liĂ©e aux recherches, Google dĂ©tient une position dominante qui prĂ©sente, Ă bien des Ă©gards, des caractĂ©ristiques  » extraordinaires « . Son moteur de recherche totalise aujourd’hui plus de 90 % des recherches effectuĂ©es en France et sa part de marchĂ© sur le marchĂ© de la publicitĂ© en ligne liĂ©e aux recherches est probablement supĂ©rieure Ă 90 % (ADLC, 19 dĂ©c. 2019, dĂ©c. N°19-D-26). Le moteur de recherche Google Search a donc une portĂ©e considĂ©rable en France.
146. En deuxiĂšme lieu, la formation restreinte estime quâil convient de faire application du critĂšre prĂ©vu Ă lâalinĂ©a b) de lâarticle 83 paragraphe 2 du RGPD, relatif au fait que la violation a Ă©tĂ© commise dĂ©libĂ©rĂ©ment.
147. La formation restreinte rappelle que les sociĂ©tĂ©s ont fait lâobjet dâune sanction rĂ©cente portant sur des manquements Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » sâagissant de lâinformation et du recueil du consentement des personnes avant le dĂ©pĂŽt des cookies sur leur terminal. Si cette sanction nâest pas dĂ©finitive puisquâelle fait lâobjet dâun recours devant le Conseil dâĂtat, la formation restreinte note toutefois que lâattention des sociĂ©tĂ©s avait Ă©tĂ© explicitement appelĂ©e par les services de la CNIL sur les modalitĂ©s de refus des cookies. Dans le cadre du suivi de lâinjonction prononcĂ©e par la formation restreinte, les sociĂ©tĂ©s ont, le 18 dĂ©cembre 2020, par lâintermĂ©diaire de leurs conseils, fait parvenir Ă la CNIL un document dans lequel elles prĂ©sentaient les changements que GOOGLE entendait dĂ©ployer sur la page web  » google.fr  » pour rĂ©pondre Ă lâinjonction prononcĂ©e. Le 17 fĂ©vrier 2021, le secrĂ©taire gĂ©nĂ©ral de la CNIL a adressĂ© aux sociĂ©tĂ©s GOOGLE LLC et GIL une rĂ©ponse constituant une aide pour les sociĂ©tĂ©s afin de se mettre en conformitĂ©. Ledit courrier allait  » au-delĂ du pĂ©rimĂštre de lâinjonction  » et Ă©voquait Ă©galement  » les modalitĂ©s de refus des cookies « . Le secrĂ©taire gĂ©nĂ©ral de la CNIL rappelait aux sociĂ©tĂ©s quâil doit ĂȘtre aussi facile de donner son consentement que de refuser de le donner ou de le retirer et indiquait quâil leur reviendrait dâinsĂ©rer un bouton  » Je refuse  » Ă cĂŽtĂ© du bouton  » Jâaccepte « , tout en prĂ©cisant quâelles pouvaient  » bien entendu changer les intitulĂ©s de ces boutons tant quâils permettent Ă lâutilisateur de comprendre clairement et directement les consĂ©quences de ses choix « . Il y Ă©tait Ă©galement prĂ©cisĂ© que :  » Si diffĂ©rentes maniĂšres de respecter les exigences lĂ©gales sont possibles, il mâapparaĂźt que la proposition figurant dans votre courrier, oĂč ne figurent quâun bouton  » Jâaccepte  » et un bouton  » ParamĂ©trer « , sur lequel il faut cliquer pour ensuite comprendre comment il est possible de refuser les cookies, nâest pas conforme aux exigences lĂ©gales de libertĂ© du consentement « . Le secrĂ©taire gĂ©nĂ©ral de la CNIL avait donc indiquĂ© aux sociĂ©tĂ©s, dĂšs fĂ©vrier 2021, les actions attendues dans la perspective dâune mise en conformitĂ© Ă lâissue de la pĂ©riode dâadaptation laissĂ©e par la CNIL aux acteurs et qui sâachevait le 1er avril 2021.
148. De surcroĂźt, la formation restreinte rappelle le contexte plus gĂ©nĂ©ral dans lequel les sociĂ©tĂ©s GOOGLE LLC et GIL ont choisi de ne pas offrir Ă leurs utilisateurs, sur les sites  » google.fr  » et  » youtube.com « , de facultĂ© de refuser aisĂ©ment les cookies. En effet, la CNIL a mis en Ćuvre un plan de mise en conformitĂ© sur la question des cookies Ă©talĂ© sur plusieurs annĂ©es et a communiquĂ© publiquement sur son site web, Ă plusieurs reprises, sur le fait quâil doit ĂȘtre aussi facile pour lâinternaute de refuser les cookies que de les accepter, en particulier le 1er octobre 2020 Ă lâoccasion de la publication des lignes directrices et de la recommandation du 17 septembre 2020 prĂ©citĂ©es. La pĂ©riode dâadaptation laissĂ©e aux acteurs sâachevait au 1er avril 2021. Des centaines de milliers dâacteurs, des plus petits sites aux plus importants, se sont mis en conformitĂ© et ont introduit sur leur interface de recueil du consentement un bouton  » refuser  » ou  » continuer sans accepter « .
149. Dans ce contexte, la formation restreinte considĂšre que le fait que les sociĂ©tĂ©s GOOGLE LLC et GIL, figurant parmi les acteurs mondiaux majeurs et incontournables de lâinternet et gĂ©rant certains des sites les plus visitĂ©s, refusent de mettre en place un systĂšme de refus aisĂ© des cookies au moment mĂȘme oĂč elles faisaient lâobjet dâune procĂ©dure de suivi dâinjonction les alertant clairement sur ce mĂȘme sujet, rĂ©vĂšle une volontĂ© caractĂ©risĂ©e de ces sociĂ©tĂ©s de ne pas modifier leurs pratiques. Elle considĂšre que les sociĂ©tĂ©s ont entendu ne pas mettre en conformitĂ© le traitement consistant en des opĂ©rations dâaccĂšs ou dâinscription dâinformations dans le terminal des utilisateurs rĂ©sidant en France lors de lâutilisation des sites  » google.fr  » et  » youtube.com « , ni sâaider des recommandations de la CNIL pour ce faire.
150. En troisiĂšme lieu, la formation restreinte considĂšre que les sociĂ©tĂ©s ne peuvent se prĂ©valoir dâune coopĂ©ration exemplaire avec la CNIL, alors quâelles nâont jamais communiquĂ© la volumĂ©trie du nombre de visiteurs uniques quotidiens pour les sites  » google.fr  » et  » youtube.com  » au cours des douze derniers mois depuis la France, Ă©lĂ©ments pourtant demandĂ©s par la dĂ©lĂ©gation de contrĂŽle de la CNIL. La formation restreinte relĂšve quâil ressort de lâarticle 18 de la loi  » Informatique et LibertĂ©s  » que les responsables de traitement  » ne peuvent s’opposer Ă l’action de la Commission  » et quâils doivent prendre  » toutes mesures utiles afin de faciliter sa tĂąche « . La coopĂ©ration avec lâautoritĂ© de contrĂŽle constitue ainsi dâabord une obligation prĂ©vue par la loi. Ainsi, lâobligation de coopĂ©rer est loin dâĂȘtre pleinement satisfaite en lâespĂšce, de sorte quâil nây a pas lieu Ă application dâune circonstance attĂ©nuante au titre de lâalinĂ©a f) du paragraphe 2 de lâarticle 83 du RGPD.
151. En quatriĂšme lieu, la formation restreinte estime quâil convient de faire application du critĂšre prĂ©vu Ă lâalinĂ©a k) de lâarticle 83, paragraphe 2, du RĂšglement relatif aux avantages financiers obtenus du fait du manquement.
152. Ă cet Ă©gard, la formation restreinte relĂšve que les opĂ©rations de lecture et Ă©criture, permettant la collecte des donnĂ©es des utilisateurs Ă des fins de publicitĂ© ciblĂ©e via les sites  » google.fr  » et  » youtube.com « , permettent aux sociĂ©tĂ©s de tirer un avantage financier considĂ©rable. Si elle admet que lâensemble des revenus des sociĂ©tĂ©s ne sont pas directement liĂ©s aux cookies, la formation restreinte souligne que la publicitĂ© en ligne repose essentiellement sur le ciblage des internautes, auquel le cookie participe directement en permettant de singulariser et dâatteindre lâutilisateur identifiĂ© en vue de lui afficher du contenu publicitaire correspondant Ă ses centres dâintĂ©rĂȘt et Ă son profil.
153. Elle rappelle que, comme elle lâa relevĂ© dans sa dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020 prĂ©citĂ©e, le groupe GOOGLE rĂ©alise lâessentiel de ses bĂ©nĂ©fices dans les deux principaux segments du marchĂ© de la publicitĂ© en ligne que constituent la publicitĂ© par affichage (Display Advertising) et la publicitĂ© contextuelle (Search Advertising), dans lesquels les cookies jouent un rĂŽle indĂ©niable, quoique diffĂ©rent.
154. Tout dâabord, dans le segment de la publicitĂ© par affichage, dont lâobjet est dâafficher un contenu dans une zone spĂ©cifique dâun site web et dans lequel les cookies et traceurs sont utilisĂ©s pour identifier les utilisateurs au cours de leur navigation, aux fins de leur proposer les contenus les plus personnalisĂ©s, il est Ă©tabli que le groupe GOOGLE propose des produits Ă tous les Ă©chelons de la chaĂźne de valeur de ce segment et que ses produits sont systĂ©matiquement dominants sur ces diffĂ©rents Ă©chelons. Ă cet Ă©gard, le groupe GOOGLE indique, sur lâun de ses sites web, quâil propose pour la publicitĂ© un Ă©cosystĂšme accessible depuis ses outils et services capable de toucher plus de 2 millions de sites, vidĂ©os et applications et plus de 90% des utilisateurs de lâInternet dans le monde.
155. Ensuite, le segment de la publicitĂ© contextuelle, dont lâobjet est dâafficher des rĂ©sultats sponsorisĂ©s en fonction des mots clef tapĂ©s par les utilisateurs dans un moteur de recherche, nĂ©cessite Ă©galement lâusage de cookies dans sa mise en Ćuvre pratique, par exemple pour pouvoir dĂ©terminer la localisation gĂ©ographique des utilisateurs et, par-lĂ , adapter les annonces proposĂ©es en fonction de cette localisation. Ă cet Ă©gard, il ressort du rapport annuel de la sociĂ©tĂ© ALPHABET pour lâannĂ©e 2019 que ce segment constitue Ă lui seul, Ă travers notamment le service Google Ads – anciennement AdWords -, 61% du chiffre dâaffaires du groupe GOOGLE.
156. Si, dans le cadre de la procĂ©dure ayant donnĂ© lieu Ă la dĂ©libĂ©ration prĂ©citĂ©e, la formation restreinte nâavait pas connaissance du montant du bĂ©nĂ©fice tirĂ© par le groupe GOOGLE de la collecte et de lâexploitation de cookies sur le marchĂ© français via le revenu gĂ©nĂ©rĂ© par la publicitĂ© ciblĂ©e sur des internautes français, elle a relevĂ©  » quâune approximation proportionnelle Ă partir des donnĂ©es chiffrĂ©es accessibles publiquement conduirait Ă estimer que la France contribuerait pour entre 680 et 755 millions de dollars au rĂ©sultat net annuel dâALPHABET, la sociĂ©tĂ©-mĂšre du groupe GOOGLE, soit, au taux de change actuel, entre 580 et 640 millions dâeuros « .
157. De surcroĂźt, la formation restreinte souligne Ă nouveau quâil ressort des Ă©tudes Ă©voquĂ©es ci-avant que les sociĂ©tĂ©s qui ont mis en place un bouton  » tout refuser  » sur lâinterface de recueil du consentement ont vu le taux de consentement relatif Ă lâacceptation des cookies diminuer. En effet, lorsquâun bouton figurant au premier niveau leur permet de refuser les cookies, une part importante des internautes refuse complĂštement ou partiellement, les cookies et autres traceurs, ce qui a nĂ©cessairement un impact en termes de revenus liĂ©s Ă la publicitĂ© en ligne. Ces Ă©lĂ©ments viennent donc confirmer lâavantage financier indĂ©niable tirĂ© du manquement commis par les sociĂ©tĂ©s GOOGLE LLC et GIL en ne mettant pas en place un mĂ©canisme de refus du consentement aussi facile que celui dâaccepter les cookies.
158. En dernier lieu, la formation restreinte rappelle quâen application des dispositions de lâarticle 20 paragraphe III de la loi  » Informatique et LibertĂ©s « , les sociĂ©tĂ©s GOOGLE LLC et GIL encourent une sanction financiĂšre dâun montant maximum de 2% de leur chiffre dâaffaires, lequel Ă©tait respectivement de [âŠ] de dollars en 2020 sâagissant de GOOGLE LLC et de plus de [âŠ]dâeuros en 2019 sâagissant de GIL.
159. Dans sa dĂ©libĂ©ration n° SAN-2020-012 du 7 dĂ©cembre 2020, la formation restreinte a dĂ©montrĂ© la plus grande implication de la sociĂ©tĂ© GOOGLE LLC dans la dĂ©termination des finalitĂ©s et des moyens des cookies mis en Ćuvre sur le site  » google.fr  » par rapport Ă la sociĂ©tĂ© GIL. En effet, câest la sociĂ©tĂ© GOOGLE LLC qui conçoit et construit la technologie des produits GOOGLE. De plus, GOOGLE LLC exerce une influence significative dans les organes dĂ©cidant du dĂ©ploiement des produits GOOGLE en Europe et des traitements de donnĂ©es Ă caractĂšre personnel des utilisateurs europĂ©ens.
160. La formation restreinte souligne quâen raison de lâutilisation massive du moteur de recherche Google Search et de YouTube en France, le nombre de personnes concernĂ©es par le manquement retenu est considĂ©rable. Elle relĂšve en outre les bĂ©nĂ©fices considĂ©rables tirĂ©s par les sociĂ©tĂ©s, Ă travers les revenus publicitaires indirectement gĂ©nĂ©rĂ©s par les donnĂ©es collectĂ©es par ces cookies.
161. DĂšs lors, au regard des responsabilitĂ©s respectives des sociĂ©tĂ©s, de leurs capacitĂ©s financiĂšres et des critĂšres pertinents de lâarticle 83, paragraphe 2, du RĂšglement Ă©voquĂ©s ci-avant, la formation restreinte estime quâune amende de 90 millions euros Ă lâencontre de la sociĂ©tĂ© GOOGLE LLC et une amende de 60 millions euros Ă lâencontre de la sociĂ©tĂ© GIL apparaissent justifiĂ©es.
B. Sur le prononcĂ© dâune injonction
162. Les sociĂ©tĂ©s soutiennent que la demande dâinjonction formulĂ©e par la rapporteure est inutile, considĂ©rant quâil nâĂ©tait pas nĂ©cessaire dâouvrir une procĂ©dure de sanction.
163. Elles contestent par ailleurs le montant de lâastreinte journaliĂšre proposĂ©e en complĂ©ment de lâinjonction dĂšs lors que la rapporteure nâapporte pas la dĂ©monstration de la nĂ©cessitĂ© de cette astreinte ni de la proportionnalitĂ© de son montant, qui est le montant maximal prĂ©vu par la loi  » Informatique et LibertĂ©s « .
164. Elles contestent enfin le dĂ©lai proposĂ© par la rapporteure Ă lâissue duquel lâastreinte pourrait ĂȘtre liquidĂ©e, considĂ©rant que la modification du mĂ©canisme de recueil du consentement nĂ©cessite un travail de programmation informatique complexe et consĂ©quent. Elles indiquent que GIL aurait besoin a minima de six mois pour se conformer aux termes de lâinjonction.
165. En premier lieu, la formation restreinte relĂšve quâen lâĂ©tat actuel du bandeau cookies sur les sites  » google.fr  » et  » youtube.com « , les utilisateurs ne disposent toujours pas dâun moyen de refuser les opĂ©rations de lecture et/ou dâĂ©criture dâinformations dans leur terminal prĂ©sentant le mĂȘme degrĂ© de simplicitĂ© que celui prĂ©vu pour en accepter lâusage. Elle estime dĂšs lors nĂ©cessaire le prononcĂ© dâune injonction afin que les sociĂ©tĂ©s se mettent en conformitĂ© avec les obligations applicables en la matiĂšre.
166. En deuxiĂšme lieu, la formation restreinte rappelle quâaux fins de conserver Ă lâastreinte sa fonction comminatoire, son montant doit ĂȘtre Ă la fois proportionnĂ© Ă la gravitĂ© des manquements commis mais Ă©galement adaptĂ© aux capacitĂ©s financiĂšres du responsable de traitement. Elle relĂšve, par ailleurs, que pour la dĂ©termination de ce montant, il doit Ă©galement ĂȘtre tenu compte du fait que le manquement concernĂ© par lâinjonction participe indirectement aux bĂ©nĂ©fices gĂ©nĂ©rĂ©s par le responsable de traitement.
167. En troisiĂšme lieu, sâagissant du dĂ©lai qui serait nĂ©cessaire pour exĂ©cuter lâinjonction, la formation restreinte prend note des arguments mis en avant par les sociĂ©tĂ©s tout en tenant compte des moyens techniques et humains dont elles disposent.
168. Au regard de ces Ă©lĂ©ments, la formation restreinte considĂšre comme justifiĂ© le prononcĂ© dâune injonction assortie dâune astreinte dâun montant de 100 000 euros par jour de retard et liquidable Ă lâissue dâun dĂ©lai de trois mois.
C. Sur la publicité
169. La formation restreinte considÚre que la publicité de la présente décision se justifie au regard du nombre de personnes concernées et de la gravité du manquement.
170. La formation restreinte relĂšve que cette mesure permettra dâalerter les utilisateurs rĂ©sidant en France des sites  » google.fr  » et  » youtube.com  » de la caractĂ©risation du manquement Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s  » et de les informer de la persistance du manquement au jour de la prĂ©sente dĂ©libĂ©ration et de lâinjonction prononcĂ©e Ă lâencontre des sociĂ©tĂ©s pour y remĂ©dier.
171. Enfin, la mesure nâest pas disproportionnĂ©e dĂšs lors que la dĂ©cision nâidentifiera plus nommĂ©ment les sociĂ©tĂ©s Ă lâexpiration dâun dĂ©lai de deux ans Ă compter de sa publication.
PAR CES MOTIFS
La formation restreinte de la CNIL, aprÚs en avoir délibéré, décide de :
âąÂ prononcer Ă lâencontre de la sociĂ©tĂ© GOOGLE LLC une amende administrative dâun montant de 90 000 000 euros (quatre-vingt-dix millions dâeuros) pour manquement Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s « ,
âą prononcer Ă lâencontre de la sociĂ©tĂ© GOOGLE IRELAND LIMITED une amende administrative dâun montant de 60 000 000 euros (soixante millions dâeuros) pour manquement Ă lâarticle 82 de la loi  » Informatique et LibertĂ©s,
âą prononcer Ă lâencontre des sociĂ©tĂ©s GOOGLE LLC et GOOGLE IRELAND LIMITED une injonction de modifier, sur les sites web  » google.fr  » et  » youtube.com « , les modalitĂ©s de recueil du consentement des utilisateurs situĂ©s en France aux opĂ©rations de lecture et/ou dâĂ©criture dâinformations dans leur terminal, en leur offrant un moyen de refuser ces opĂ©rations prĂ©sentant une simplicitĂ© Ă©quivalente au mĂ©canisme prĂ©vu pour leur acceptation, afin de garantir la libertĂ© de leur consentement ;
âą assortir lâinjonction dâune astreinte de 100 000 euros (cent mille euros) par jour de retard Ă lâissue dâun dĂ©lai de trois mois suivant la notification de la prĂ©sente dĂ©libĂ©ration, les justificatifs de la mise en conformitĂ© devant ĂȘtre adressĂ©s Ă la formation restreinte dans ce dĂ©lai ;
⹠adresser cette décision à la société GOOGLE FRANCE en vue de son exécution ;
âą rendre publique, sur le site de la CNIL et sur le site de LĂ©gifrance, sa dĂ©libĂ©ration, qui nâidentifiera plus nommĂ©ment les sociĂ©tĂ©s Ă lâexpiration dâun dĂ©lai de deux ans Ă compter de sa publication.
Le président
Alexandre LINDEN
Cette dĂ©cision est susceptible de faire lâobjet dâun recours devant le Conseil dâĂtat dans un dĂ©lai de quatre mois Ă compter de sa notification.