- La CNIL a infligé de lourdes amendes à Google (100 millions d’euros au total) et à Amazon (35 millions d’euros) pour placement de cookies non autorisé et non consenti.
- Les bannières d’information et les mécanismes d’opt-out étaient insuffisants ; Google LLC et Google Ireland ont été désignés conjointement comme responsables du traitement des données.
La Commission nationale de l’informatique et des libertés (CNIL) a pris des mesures à l’encontre de Google (Délibération SAN-2020 – 012 du 7 décembre 2020) que contre Amazon (Délibération SAN-2020 – 013 du 7 décembre 2020) ont infligé de lourdes amendes.
Concrètement, il s’agit de violations de l’article 82 de la “Loi Informatique et Libertés”. Celui-ci transpose l’article 5, paragraphe 3 de la directive ePrivacy dans le droit français et prévoit un consentement explicite pour l’utilisation de cookies.
Concernant google.fr constate la CNIL (E. 77 et suivantes.):
- que des cookies à des fins de marketing, qui ne sont pas nécessaires à la fourniture des services Google, ont été placés automatiquement sur les appareils des utilisateurs sans leur consentement préalable ;
- que le bandeau d’information comporte deux boutons “se souvenir plus tard” et “afficher maintenant“Le site ne comportait pas d’informations sur le placement automatique de cookies sur les appareils des utilisateurs ;
- que le mécanisme d’opt-out était partiellement défectueux. Lors de la désactivation des annonces personnalisées, un cookie marketing restait sur les appareils des utilisateurs.
Aussi concernant amazon.fr la CNIL a dénoncé le placement automatique de cookies sans consentement. Le bandeau d’information “En utilisant ce site web, vous acceptez que nous utilisions des cookies pour offrir et améliorer nos services.” était également insuffisante. Cela n’a notamment pas permis aux utilisateurs de recevoir des informations sur la possibilité de se rétracter (E. 67 et suiv.).
L’amende de 35 millions d’euros est infligée à Amazon Europe Core. La CNIL estime que Google LLC et Google Ireland Ltd déterminent conjointement les finalités et les moyens du traitement des données, c’est-à-dire le placement de cookies sur les appareils des utilisateurs de google.fr. Elles sont donc conjointement responsables de ce traitement (E. 58 et suivantes.).