La CNIL a lourdement sanctionné les géants Google et Facebook, épinglés pour ne pas avoir respecté la règle selon laquelle « refuser les cookies doit être aussi simple que de les accepter » pour l'utilisateur. Au passage, l'autorité s'offre un record au niveau du montant des sanctions.
Beaucoup reprochaient à la Commission nationale de l'informatique et des libertés, la CNIL, une certaine passivité face aux grands acteurs du numérique. Mais il semble que les cookies rendent l'autorité plus gourmande ces dernières années. Après avoir infligé des amendes record à Google et Amazon fin 2020 pour leur gestion des petits traceurs (100 millions d'euros pour l'un, 35 millions pour l'autre), le gendarme des données a récidivé ! Mercredi, il annonce avoir sanctionné Google de deux amendes, à hauteur de 150 millions d'euros, et Facebook d'une autre, d'un montant de 60 millions d'euros. Comment ? Pourquoi exactement ? Voyons cela ensemble.
Les raisons de l'intervention de la CNIL et les reproches faits à Google (et YouTube) et Facebook
La CNIL fut saisie de plusieurs plaintes venant dénoncer les modalités de refus des cookies sur les sites web google.fr, youtube.com et facebook.com. En avril 2021, elle a opéré un contrôle en ligne du réseau social Facebook et constaté, dans la foulée, que le site propose un bouton qui permet d'accepter les cookies, sans proposer de solution équivalente pour les refuser. En juin 2021, la CNIL a fait la même constatation sur les sites Google et YouTube.
Un bouton permet d'accepter immédiatement les cookies, mais il n'existe pas de solution équivalente pour les refuser aussi facilement.
Le reproche de la CNIL à Google, YouTube et Facebook, le 6 janvier 2022
Rappelez-vous, les recommandations et lignes directrices du gendarme français des données sont claires : refuser un cookie doit être aussi simple que de l'accepter. L'autorité suggère ainsi de faire cohabiter un bouton « Tout accepter » avec un bouton « Tout refuser », sur le même niveau, de façon à offrir à l'utilisateur un choix clair et simple, ce qui, en l'espèce, n'était pas le cas sur Google ni sur YouTube ni sur Facebook.
La CNIL dénonce ici le fait que « plusieurs clics sont nécessaires pour refuser tous les cookies, contre un seul pour les accepter ». S'agissant de Facebook plus particulièrement, l'autorité déplore que le bouton permettant de refuser les traceurs se situe en bas de la seconde fenêtre et s'intitule « Accepter les cookies ». La formation restreinte de l'autorité affirme que le procédé n'est pas clair et qu'il entraîne de la confusion, car l'utilisateur a alors le sentiment qu'il ne lui est pas possible de refuser le dépôt de cookies. Concernant Google, la CNIL déplore un mécanisme de refus plus complexe. Celui-ci décourage l'utilisateur qui en vient finalement à privilégier la facilité du bouton « J'accepte ».
210 millions d'euros d'amende(s) et 3 mois pour répondre aux exigences de la CNIL
Pour ce manquement à l'article 82 de la loi Informations et Libertés, qui porte atteinte à la liberté du consentement des internautes, la CNIL a tapé du poing sur la table et décidé de sanctionner assez lourdement, à l'échelle française, les groupes Google et Facebook. Elle a décidé d'infliger à Google une amende globale de 150 millions d'euros. Celle-ci est découpée en deux : 90 millions d'euros imputés à Google LLC, la société californienne qui développe le moteur de recherche et YouTube ; et 60 millions d'euros imputés à Google Ireland Limited, le siège européen du groupe, installé en Irlande. Quant à Facebook, l'amende se porte à 60 millions d'euros et est adressée à Facebook Ireland Limited, siège européen de la firme de Mark Zuckerberg. Les montants sont records pour la CNIL.
Les deux groupes ont évidemment réagi à ces sanctions, qui leur imposent par ailleurs d'instaurer, dans un délai de 3 mois, un moyen permettant de refuser les cookies aussi simplement que celui existant pour les accepter. Pour Google, par l'intermédiaire d'un porte-parole, « les internautes nous font confiance afin de respecter leur droit à la vie privée et veiller à leur sécurité. Dans le respect de ces attentes, nous nous engageons à mettre en place de nouveaux changements ainsi qu’à travailler activement avec la CNIL en réponse à sa décision, dans le cadre de la directive ePrivacy. »
Facebook, de son côté, indique examiner la décision de l'autorité, par le biais d'un porte-parole de la maison mère, le groupe Meta : « Nous restons déterminés à travailler avec les autorités compétentes. Nos contrôles de consentement aux cookies offrent aux gens un meilleur contrôle sur leurs données, y compris un nouveau menu de paramètres sur Facebook et Instagram où les gens peuvent revoir et gérer leurs décisions à tout moment, et nous continuons à développer et à améliorer ces contrôles. » Notons que la bannière de cookies de Facebook offre déjà des contrôles granulaires à ses utilisateurs européens, avec un certain contrôle de leurs données. Mais, aux yeux de la CNIL, les deux entreprises doivent faire plus.
Source : CNIL
