Google : des cookies aux amendes

On apprend que la CNIL a sanctionné Google pour un montant total de 150 millions d'euros (90 millions d'euros pour Google LLC et 60 millions d'euros pour Google Irlande) parce qu'il n'est pas permis aux utilisateurs de google.fr et de youtube.com de refuser les cookies aussi facilement que de les accepter.

La CNIL affirme avoir reçu plusieurs plaintes dénonçant les modalités de refus des cookies sur les sites web google.fr et youtube.com.

En juin 2021, elle a effectué un contrôle en ligne sur ces sites et a constaté que, s'ils proposent un bouton permettant d'accepter immédiatement les cookies, les sites ne mettent pas en place de solution équivalente (bouton ou autre) pour permettre à l'internaute de refuser aussi facilement le dépôt des cookies. Plusieurs clics sont nécessaires pour refuser tous les cookies, contre un seul pour les accepter.

La formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a considéré que rendre le mécanisme de refus plus complexe revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton « j'accepte ».

La formation restreinte a considéré que ce procédé porte atteinte à la liberté du consentement des internautes et constitue une violation de l'article 82 de la loi Informatique et Libertés puisqu'il n'est pas aussi simple de refuser les cookies que de les accepter.

Elle a justifié les montants indiqués ci-dessus par le nombre de personnes concernées et par les bénéfices considérables que les sociétés tirent des revenus publicitaires indirectement générés à partir des données collectées par les cookies.

La formation restreinte a également relevé le fait que les services de la CNIL avaient déjà, en février 2021, attiré l'attention des sociétés Google sur ce manquement. Elle a également rappelé que la CNIL avait communiqué à de nombreuses reprises sur le fait qu'il doit être aussi simple de refuser les cookies que de les accepter.

En complément des amendes administratives, la formation restreinte a également adopté une injonction sous astreinte afin que les sociétés mettent à disposition des internautes situés en France, dans un délai de 3 mois à compter de la notification de la décision, un moyen permettant de refuser les cookies aussi simplement que celui existant pour les accepter, afin de garantir la liberté de leur consentement. Dans le cas contraire, les sociétés s'exposeront au paiement d'une astreinte de 100 000 euros par jour de retard.