Cookies : sanction de 60 millions d’euros à l’encontre de MICROSOFT IRELAND OPERATIONS LIMITED
Le 19 décembre 2022, la formation restreinte de la CNIL a sanctionné la société MICROSOFT IRELAND OPERATIONS LIMITED à hauteur de 60 millions d’euros, notamment pour ne pas avoir mis en place un mécanisme permettant de refuser les cookies aussi facilement que de les accepter.
Le contexte
À la suite d’une plainte portant sur les conditions du dépôt de cookies sur « bing.com », la CNIL a effectué plusieurs contrôles sur le site web en septembre 2020 et mai 2021.
Elle a constaté que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient déposés sur son terminal sans consentement de sa part alors qu’ils poursuivaient, notamment, un objectif publicitaire. Elle a également constaté l’absence d’un bouton permettant de refuser le dépôt de cookies aussi facilement que de l’accepter.
En conséquence, la formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a sanctionné la société MICROSOFT IRELAND OPERATIONS LIMITED d’une amende de 60 millions d’euros, rendue publique.
Elle a justifié ce montant par la portée du traitement, par le nombre de personnes concernées et par les bénéfices que la société tire des revenus publicitaires indirectement générés à partir des données collectées par les cookies.
En complément de l’amende administrative, la formation restreinte a également adopté une injonction sous astreinte afin que la société recueille sur le site web « bing.com », dans un délai de trois mois, le consentement des personnes résidant en France avant de déposer sur leur terminal des cookies et traceurs à finalité publicitaire. Dans le cas contraire, la société s’exposera au paiement d’une astreinte de 60 000 euros par jour de retard.
Les manquements à la loi Informatique et Libertés
La formation restreinte a relevé des manquements à l’article 82 de la loi Informatique et Libertés.
Le dépôt de cookies sans recueil préalable du consentement de l’utilisateur
Lorsqu’un utilisateur se rendait sur le moteur de recherche « bing.com », un cookie poursuivant plusieurs finalités, dont des finalités de lutte contre la fraude publicitaire, était automatiquement déposé sur son terminal sans action de sa part.
Par ailleurs, lorsqu’il poursuivait la navigation sur le moteur de recherche, un cookie poursuivant une finalité publicitaire était déposé sur son terminal, toujours sans que son consentement n’ait été recueilli.
Or, la loi impose que ce type de cookies ne soit déposé qu’après consentement de l’utilisateur.
L’absence d’un moyen conforme de recueil du consentement au dépôt des cookies
Si le moteur de recherche proposait un bouton permettant d’accepter immédiatement les cookies, il ne proposait pas de solution équivalente (bouton de refus ou autre) pour permettre à l’internaute de les refuser aussi facilement. Deux clics étaient nécessaires pour refuser tous les cookies, un seul pour les accepter.
La formation restreinte a relevé que rendre le mécanisme de refus plus complexe revient, en réalité, à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton de consentement figurant dans la première fenêtre. Elle a considéré qu’un tel procédé portait atteinte à la liberté du consentement des internautes.
La formation restreinte a conclu que les conditions de recueil de consentement qui étaient proposées aux utilisateurs jusqu’à la mise en place d’un bouton « Tout refuser » le 29 mars 2022, constituaient une violation de la loi.
La compétence de la CNIL
La CNIL est matériellement compétente pour contrôler et sanctionner les opérations liées aux cookies déposés par la société sur les terminaux des internautes situés en France. Le mécanisme de coopération prévu par le RGPD (mécanisme de « guichet unique ») n’a pas vocation à s’appliquer dans ces procédures dans la mesure où les opérations liées à l’utilisation des cookies relèvent de la directive « ePrivacy », transposée à l’article 82 de la loi Informatique et Libertés.
La formation restreinte a considéré que la CNIL est également territorialement compétente car le recours aux cookies est effectué dans le « cadre des activités » de la société MICROSOFT FRANCE qui constitue « l’établissement » sur le territoire français du groupe MICROSOFT.
Note : La société MICROSOFT IRELAND OPERATIONS LIMITED, dont le siège est en Irlande, se présente comme le responsable de traitement du moteur de recherche « bing.com » dans la région européenne. La société MICROSOFT FRANCE est l’établissement en France du groupe Microsoft.
