La CNIL a constaté, à la suite de contrôles, que lorsqu’un internaute se rendait sur les sites web de Google et d’Amazon, des cookies publicitaires étaient déposés sur son ordinateur sans qu’il ait préalablement donné son accord.
Elle a ensuite relevé que les bandeaux d’information affichés lors de la consultation de ces sites ne contenaient pas d’informations suffisamment claires pour que l’internaute sache ce à quoi servent ces cookies et la façon dont il peut les refuser.
Ces deux points constituent des manquements à l’article 82 de la loi Informatiques et Libertés : la loi prévoit en effet qu’on ne peut déposer des cookies publicitaires que si l’internaute donne préalablement son accord, après avoir été correctement informé de ce à quoi servent ces cookies.
Du fait de ces manquements, la formation restreinte de la CNIL a prononcé une sanction de 100 M€ à l’encontre de Google et une sanction de 35 M€ à l’encontre d’Amazon.
En complément des amendes, la CNIL a enjoint aux sociétés de modifier leur bandeau d’information, dans un délai de 3 mois à compter de la notification de la décision. À défaut, ces sociétés devront payer une astreinte de 100 000 euros par jour de retard.
Les obligations dont la CNIL sanctionnent aujourd’hui le non-respect sont antérieures à la nouvelle réglementation européenne du RGPD (entrée en vigueur le 25 mai 2018). Pour les nouvelles obligations résultant du RPGD, la CNIL a publié, le 1er octobre 2020, de nouvelles lignes directrices et une recommandation portant sur l’usage de cookies et autres traceurs. Elle a demandé aux acteurs de se conformer aux nouvelles règles en estimant que la période d’adaptation ne devrait pas dépasser six mois.
