La CNIL avait prévenu qu’elle finirait par taper du poing sur la table, face aux recueils biaisés du consentement des internautes à ce que l’on collecte et exploite leurs données. Les deux décisions publiées jeudi contre Google et Facebook marquent ce changement de ton. Les deux géants américains écopent d’amendes record pour n’avoir pas permis aux utilisateurs de refuser simplement le dépôt de cookies (les petits fichiers informatiques qui servent notamment à enregistrer l’activité des internautes à des fins publicitaires).
Pour avoir manqué à cette obligation légale, à la fois sur son moteur de recherche et sur YouTube, Google doit s’acquitter d’une amende de 150 millions d’euros - la plus importante jamais prononcée par la CNIL. Facebook devra pour sa part régler 60 millions d’euros - la troisième plus importante sanction pécuniaire prononcée par le gendarme français. Les sociétés ont trois mois pour mettre en conformité leurs bandeaux de recueil des cookies, sous peine d’une astreinte de 100.000 euros par jour.
« Accepter les cookies »… pour les refuser
Actuellement, les utilisateurs de Google « doivent effectuer une seule action pour accepter les cookies, alors qu’ils doivent en effectuer cinq pour les refuser », pointe la CNIL, alors qu’elle martèle depuis des années que refuser doit être aussi simple qu’accepter .
Google n’en a pas tenu compte. Pas plus que Facebook (...)
Contourner Dublin
Pour leur défense, les géants américains estimaient que la CNIL n’était pas légitime pour les sanctionner. Depuis l’entrée en vigueur du RGPD (le règlement européen qui régit l’utilisation des données personnelles) en 2018, c’est la CNIL irlandaise qui doit vérifier leur respect du texte, puisque les sièges européens de Google et de Facebook sont à Dublin. Cette insistance peut aussi s’expliquer par le fait que la Data Protection Commission (DPC) irlandaise est connue pour son extrême lenteur .
Certes, elle a fini par prononcer en septembre une amende de 225 millions d’euros à l’encontre de WhatsApp (propriété de Facebook), la deuxième plus importante au titre du RGPD après celle de 746 millions prononcée contre Amazon en juillet par la CNIL luxembourgeoise . Mais les nombreuses enquêtes lancées par la CNIL irlandaise contre Google et Facebook n’ont toujours pas abouties - alors que l’une au moins remonte à 2018.
Pour contourner cet obstacle, la CNIL française a sanctionné Google et Facebook au titre de la directive e-Privacy de 2002 - qui n’encadre pas l’utilisation mais le recueil des cookies. (...)
Cette astuce avait déjà permis à la CNIL d’infliger à Google une première amende record de 100 millions d’euros il y a un an (pour défaut d’information des utilisateurs sur les cookies), ainsi qu’une amende de 35 millions à Amazon.
Des bénéfices illégaux
L’ampleur de ces sanctions est justifiée par la taille des entreprises concernées, ainsi que par le bénéfice important qu’elles ont tiré de leur refus d’appliquer les recommandations du gendarme français. (...)
Mais, lorsqu’il est aussi simple de refuser les cookies que de les accepter, le taux de consentement diminue fortement, selon plusieurs études citées par la CNIL - et les revenus de la publicité avec.
Google et Facebook se sont prémunis illégalement contre ce manque à gagner - a fini par juger la CNIL - au contraire des « centaines de milliers d’acteurs, des plus petits sites aux plus importants » qui « se sont mis en conformité et ont introduit sur leur interface de recueil du consentement un bouton « refuser » ou « continuer sans accepter ».
Dans un communiqué, Google s’est engagé à « mettre en place de nouveaux changements, ainsi qu’à travailler activement avec la CNIL en réponse à sa décision ». Facebook, de son côté, « est en train d’examiner la décision » de la CNIL et assure qu’il « continuera à développer et améliorer » les contrôles du consentement aux cookies.