Cookies publicitaires : la Cnil prononce une sanction de 50 000 euros à l’encontre d’un média (Délib. SAN-2021-013 du 27 juillet 2021).
Cette sanction fait suite à la plainte d’une utilisatrice du site internet lefigaro.fr qui a conduit la Cnil à effectuer cinq opérations de contrôle en ligne entre janvier 2020 et juin 2021. Durant ces contrôles, elle a constaté un manquement à la réglementation des cookies (art. 82 de la loi Informatique et libertés) lors de la dépose et l’utilisation de cookies publicitaires.
Les manquements constatés
Lors des vérifications effectuées en ligne, la Cnil a constaté deux séries de négligences par rapport à la réglementation :
- Des cookies publicitaires se déposaient sur le terminal de l’utilisateur dès son arrivée sur la page d’accueil du site internet et ce, en l’absence de son consentement préalable ;
- Plusieurs opérations de dépôt et de lecture de cookies publicitaires avaient lieu dans l’équipement terminal de l’utilisateur par des partenaires du média alors que l’utilisateur avait refusé au préalable les cookies.
La formation restreinte rappelle ainsi que seuls sont exemptés de recueil de consentement les cookies :
- ayant pour finalité exclusive de permettre ou de faciliter la communication par voie électronique ou
- strictement nécessaires à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
En l’espèce, les cookies observés ayant une finalité publicitaire, le recueil du consentement de l’utilisateur s’imposait. La Cnil constate donc un manquement à l’article 82 de la loi Informatique et libertés. Elle précise que la durée de vie des cookies même lorsque celle-ci est limitée à la durée de la session est indifférente dans l’appréciation de la nécessité de recueillir le consentement préalable de l’utilisateur.
La responsabilité des éditeurs de site internet s’agissant des cookies tiers
En défense, le média soutenait que l’ensemble des cookies visés par la Cnil étaient des cookies déposés par des tiers sur son site (« cookies tiers ») ; elle ne pouvait donc être tenue responsable de l’absence de prise en compte du consentement ou du refus des utilisateurs par ces tiers.
La formation restreinte rappelle toutefois la décision retenue par le Conseil d’Etat dans son arrêt du 6 juin 2018 qui précise que l’éditeur d’un site internet qui autorise le dépôt de cookies tiers sur son site et leur utilisation par ses partenaires doit également être considéré comme responsable de traitement, alors même qu’il ne sera pas soumis à l’ensemble des obligations qui s’imposent au tiers qui a émis le cookie.
Dans une telle hypothèse, l’éditeur du site internet est tenu, en particulier, des obligations suivantes :
- d’une part, il doit s’assurer auprès de ses partenaires qu’ils n’émettent pas, par l’intermédiaire de son site, des traceurs ne respectant pas la réglementation ;
- d’autre part, il doit effectuer toute démarche utile auprès d’eux pour mettre fin à des manquements.
La Cnil considère alors que :
- la responsabilité qui incombe au média est une obligation de moyens et que
- la société n’a pas mis en œuvre suffisamment de diligences pour y répondre.
L’insuffisance des moyens mis en œuvre par le média
La Cnil analyse les outils et moyens mis en œuvre par le média à savoir :
- une plateforme de gestion du consentement ;
- un outil de veille et l’émission d’un signal de refus auprès des tiers qui déposent des cookies sur le terminal des utilisateurs lors de leur navigation sur le site internet.
Elle constate que ces derniers sont manifestement insuffisamment efficaces et ne permettent pas de faire cesser le manquement constaté.
Selon la Cnil, le média aurait dû envisager d’autres moyens juridiques pour faire cesser ces manquements tels que :
- prévoir contractuellement la possibilité d’engager des actions contre ses partenaires ;
- agir en responsabilité ou suspendre temporairement le contrat ; et en dernier recours,
- apprécier l’opportunité de mettre fin aux relations commerciales.
A défaut d’adopter de telles mesures, la Cnil conclut que le média méconnaît ses obligations en matière de cookies.
Céline Avignon
Pénélope Alcalay
Lexing Publicité et marketing électronique