Cookies : confirmation le 27 juin 2022 par le Conseil d’Etat de la sanction de 35 millions d’euros à l’encontre d’AMAZON
Corinne Thiérache et Carole Bui
A l’instar de Google dont la sanction avait déjà été confirmée par le Conseil d’Etat le 28 janvier dernier, le « cookie » est également dur à avaler pour la société Amazon.
Dans sa décision du 27 juin 2022, le Conseil d’Etat a validé la sanction prononcée à l’encontre de la société Amazon Europe Core par la formation restreinte de la CNIL dans sa délibération du 7 décembre 2020.
Pour mémoire, la CNIL avait sanctionné la société Amazon Europe Core à une amende de 35 millions d’euros et ce, à raison des manquements constatés au titre de l’article 82 de la loi n° 78-17 du 6 janvier 1978 (loi « Informatique et Libertés »), en sus d’une injonction de mise en conformité de son traitement de données dans les trois mois de la notification de la délibération sous astreinte de 100.000 euros par jour de retard, et de la publication de la sanction.
A son tour, le Conseil d’Etat a confirmé la compétence de la CNIL en matière de cookies et ce, indépendamment du mécanisme de « guichet unique ». Il rappelle à nouveau que les manquements relevés à l’article 82 de la loi « Informatique et Libertés » (en l’occurrence, l’absence de recueil de consentement préalable au dépôt de cookies sur le terminal de l’utilisateur et l’insuffisance de l’information préalable de celui-ci) relèvent de la Directive ePrivacy et non du RGPD qui est le seul à prévoir ce mécanisme de « guichet unique ».
Cette compétence est également réaffirmée, y compris en présence d’un responsable de traitement non-établi en France mais disposant sur le territoire français d’un établissement impliqué dans les activités liées au traitement effectué, tel que la société Amazon Online France en charge de la promotion et la commercialisation d’outils publicitaires.
Le Conseil d’Etat balaie par ailleurs d’un revers de la main le grief de procédure irrégulière de la société Amazon Europe Core.
Sur le fond, le Conseil d’Etat confirme la caractérisation des atteintes constatées à l’article 82 précité. En particulier, la Haute Juridiction rejette l’argument de la société Amazon Europe Core selon lequel le cadre juridique applicable aux traceurs n’était pas clair et stabilisé au moment de l’engagement des poursuites à l’encontre de celle-ci et rappelle notamment le régime préexistant de l’article 32 II de la loi « Informatique et Libertés » qui prévoyait déjà les principes d’un consentement préalable au dépôt de cookies, d’une information claire et complète de l’utilisateur et d’un droit d’opposition.
Il est intéressant de noter que le Conseil d’Etat considère également que « la circonstance que d’autres autorités de contrôle nationales auraient pris des positions divergentes pour interpréter les conditions et modalités applicables au recueil du consentement de l’utilisateur est sans incidence sur l’application par la CNIL des dispositions de la loi du 6 janvier 1978 ».
Enfin, le Conseil d’État valide le caractère proportionné du montant de la sanction pécuniaire prononcée par le CNIL, au regard notamment de la gravité des manquements constatés et du chiffre d’affaires de 7,7 milliards d’euros de la société Amazon Europe Core sur lequel la CNIL s’est fondée pour prononcer sa sanction.
Par cette décision, le Conseil d’Etat conforte à nouveau la position de la CNIL en matière de sanction en cas de violation de la règlementation relative aux cookies et aux traceurs. Aucune excuse ne sera donc tolérée pour les responsables de traitement qui seraient encore réticents à se mettre en conformité.
Les avocats du Département Protection des données personnelles du Cabinet Alerion accompagnent leurs clients dans le cadre du respect des règles applicables aux cookies en amont de tout contrôle de la CNIL ou dans le cadre de contrôle diligenté par la CNIL.
Corinne Thiérache, Associée, et Carole Bui, Avocat du Département Droit des technologies et du numérique.