Recueil de consentement: la CNIL clôt son injonction contre Google mais mobilisera «l’ensemble de sa chaîne répressive si nécessaire»

La Commission nationale de l’informatique et des libertés (CNIL) a annoncé mardi avoir clôturé en juillet l’injonction prononcée fin 2021 à l’encontre de Google et sa filiale YouTube concernant le dépôt de cookies, le géant américain du web ayant mis en place une solution dans les délais impartis.

Le gendarme français des données personnelles avait en effet prononcé le 31 décembre 2021 une amende de 150 millions d’euros contre Google, car celui-ci ne permettait pas à ses utilisateurs européens de refuser le dépôt de ces traceurs sur leur terminal aussi simplement que de les accepter.

Google s’était engagé à modifier ses pratiques, comme le lui avait demandé la CNIL sous peine d’une astreinte de 100.000 euros par jour de retard après un délai de 3 mois. Par la suite, le groupe siégeant à Mountain View avait communiqué sur la mise en place d’un nouveau bandeau en avril contenant un bouton de refus intitulé « Tout refuser ».

« Au vu de la réponse apportée dans le délai imparti par les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED (…) et considérant qu’elles avaient satisfait à l’injonction prononcée, la formation restreinte a décidé de clore la procédure le 13 juillet 2023 », a indiqué mardi le régulateur.

Toutefois, « cette décision de clôture ne préjuge pas de l’analyse de la CNIL sur la conformité des nouvelles fenêtres de consentement aux cookies » sur les deux sites « à l’ensemble des dispositions de l’article 82 de la loi Informatique et Libertés ». La commission « se réserve » donc la possibilité de contrôler à nouveau la conformité des deux sites « à ces autres exigences et, si nécessaire, de mobiliser l’ensemble de de sa chaîne répressive ».

Un «danger» pour «la vie privée des utilisateurs»

Les cookies sont des traceurs numériques déposés par les sites internet sur le terminal de l’usager. Ils servent à identifier de manière persistante l’utilisateur, notamment en sauvegardant son panier d’articles ou ses préférences. Lorsqu’ils sont déposés par un partenaire du site, souvent à des fins de mesure d’audience ou de ciblage publicitaire, on parle de cookies tiers.

Selon la CNIL, les cookies tiers peuvent mettre « en danger la vie privée des utilisateurs », car « le serveur fournissant ces ressources tierces est lui aussi capable de lire et écrire sur le terminal de l’utilisateur en identifiant le contexte (par exemple L’URL) dans lesquelles ces ressources ont été appelées. Ainsi par exemple si l’éditeur d’un journal en ligne intègre une bannière publicitaire sur son site, alors le publicitaire obtient les URL visités par l’utilisateur. S’il est également présent sur le site d’un autre éditeur, il peut identifier le même utilisateur également sur ce site ».

Depuis l’entrée en vigueur du règlement européen sur les données personnelles (RGPD) en 2018, les sites internet sont tenus de respecter des règles plus strictes pour recueillir le consentement des internautes avant de déposer leurs cookies. Autrement dit, l’utilisation des cookies est soumise au consentement de l’utilisateur qui doit accepter spécifiquement leur dépôt.

Pour la CNIL, «le traçage des données de navigation» reste «important»

Le laboratoire d’innovation de la CNIL a suivi pendant plus d’un an les pratiques des 1.000 sites à la plus forte audience en France. Selon son étude, « la part des sites déposant plus de 6 cookies tiers est passée de 24% à 12% entre janvier 2021 et août 2022. La proportion de sites ne déposant aucun cookie tiers est quant à elle passée de 20% à 29%. Enfin, le nombre moyen de cookies tiers déposés est passé de plus de 4 à 2,5 ». Malgré ces « premiers résultats positifs », « le traçage des données de navigation par les acteurs de la publicité ciblée, sans consentement des personnes, reste potentiellement important », reconnaît la Cnil, qui avait publié des lignes directrices sur le sujet en 2020.

Selon l’AFP, la CNIL a adressé depuis un total de 94 mises en demeure et prononcé 8 sanctions. Les Gafa les plus friands de cookies ont également reçu d’importantes amendes : 250 millions d’euros pour Google, 60 millions d’euros pour Facebook, 35 millions d’euros pour Amazon. Dans le cas des sanctions infligées à Google et Facebook, la commission mettait en cause le contraste entre la facilité qu’a l’internaute à accepter les cookies et la difficulté à les refuser.

Du côté des utilisateurs, une série de sondages menée par l’Ifop montre que 95% des personnes interrogées en 2022 déclarent savoir ce que sont les cookies, contre 44% en novembre 2020. Toutefois, 68% d’entre eux considèrent que l’information sur les entreprises de l’écosystème publicitaire est insuffisante ou inexistante. Le taux de refus des cookies est également en hausse, avec 39% en juin 2022. Environ autant d’internautes déclarent les paramétrer plus finement, et quelque 20% disent donner leur accord à chaque fois.

L’AFP a contribué à cet article.