Le 7 décembre 2020, la formation restreinte de la CNIL a prononcé des sanctions pour violation de la règlementation sur les cookies à l’encontre de :

• les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED pour un montant total de 100 millions d’euros d’amende ;
• la société AMAZON EUROPE CORE pour un montant total de 35 millions d’euros d’amende.

Entre décembre 2019 et mai 2020, la CNIL a effectué des contrôles en ligne sur les sites google.fr et amazon.fr qui ont permis de révélé trois typologies de violations de Loi Informatique et Libertés :

• Dépôt de cookies sans consentement préalable de l’utilisateur

Des cookies à finalité publicitaire étaient automatiquement déposés sur l’ordinateur de l’internaute, sans action de sa part, ce comportement n’étant pas compatible avec l’obligation de recueil préalable du consentement de l’utilisateur.

• Défaut d’information des utilisateurs

Pour les deux sites, aucune information claire et complète relative aux cookies n’était fournie à l’utilisateur par le bandeau d’information s’affichant en pied de page ni, pour le site google.fr, sur la page apparaissant lorsqu’il cliquait sur le bouton « Consulter maintenant ».

• Pour le site google.fr, un cookie publicitaire demeurait actif même après avoir activé le mécanisme d’opposition à la personnalisation des annonces.

Selon la CNIL, le montant important des sanctions prononcées est justifié non seulement au regard de la gravité des manquement constatés mais également de leur portée puisqu’ils ont affecté des millions de consommateurs et des bénéfices élevés qu’ils ont indirectement générés soit via des services de publicité (pour les sociétés Google) soit en permettant d’augmenter considérablement la visibilité des produits commercialisés par Amazon.

Bien que le dépôt automatique des cookies sans consentement ait entretemps cessé, les nouveaux bandeaux d’information s’affichant sur les pages google.fr et amazon.fr ne permettaient toujours pas aux utilisateurs résidant en France de comprendre les finalités pour lesquelles les cookies sont utilisés et ne les informaient pas du fait qu’ils pouvaient refuser ces cookies.

C’est pourquoi la CNIL a également adopté des injonctions sous astreinte afin que les sociétés Google et Amazon procèdent à une information des personnes conforme à la loi Informatique et Libertés dans un délai de 3 mois à compter de la notification de sa décision. A défaut, elles s’exposeront au paiement d’une astreinte de 100.000 euros par jour de retard.