Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia - 26

D

O

C

T

R

I

N

E

DONNÉES PERSONNELLES

ePrivacy : lourdes sanctions
contre Amazon et Google
La Cnil a prononcé une sanction de 100 millions
d'euros contre Google et de 35 millions contre Amazon
pour non-respect des règles du consentement sur
les cookies, prévues par la directive ePrivacy et la
loi Informatique et libertés. En faisant primer les
dispositions nationales sur le RGPD, la Cnil s'estime
matériellement compétente et rejette donc le recours
au mécanisme du guichet unique.

L

a Cnil a rendu publiques
deux décisions de sanction du 7 décembre 2020,
à l'encontre d'Amazon
Europe Core1 (société luxembourgeoise) d'une part et Google LLC2
(société américaine) et Google
Ireland Limited (société irlandaise
qui se présente comme le siège du
groupe Google pour ses activités
européennes) d'autre part.
Résumés sommairement, les faits
des deux affaires sont proches : le
moteur de recherche et la place de
marché déposent des cookies à
finalité publicitaire avant d'avoir
obtenu le consentement des
internautes, leur fournissent une
information parcellaire sur les
traitements mis en œuvre et sans
leur indiquer qu'il est possible de
refuser le dépôt de cookies.
Ces décisions, qui méritent une
lecture détaillée, permettent de
comprendre la position de la Cnil
sur la législation qui encadre
actuellement les cookies. En
effet, lorsque les cookies et autres
traceurs sont déposés, ils sont
soumis à la directive ePrivacy
et les traitements de données
personnelles qui en découlent
sont, eux, soumis au RGPD. De là
surgit une interrogation  : quelles
dispositions du RGPD encadrent
les cookies ?

26

ePrivacy, règle spéciale,
dérogeant au RGPD,
règle générale
Les dispositions de la directive
ePrivacy sont transposées dans
la loi Informatique & libertés (voir
art. 82 de la LIL, ancien art. 32
II). Ces dispositions dérogent au
RGPD en imposant le recueil du
consentement avant le dépôt de
cookies (là où l'article 6 du RGPD
autorise différentes bases légales).
De plus, l'article 16 de la LIL qui
autorise la formation restreinte à
sanctionner les manquements à la
LIL, s'applique. Ainsi, la Cnil s'estime matériellement compétente
pour sanctionner les manquements à la LIL et rejette le recours
au mécanisme du guichet unique.
La Cnil estime en effet que le
mécanisme de coopération via le
Comité européen à la protection
des données (CEPD) n'est pas, au
regard du droit positif, compétent
pour traiter des problématiques
de télécommunication. Le CEPD
n'a pas à effectuer un contrôle de
cohérence sur ces questions.
Pour se déclarer territorialement
compétente, la Cnil applique à
la fois sur la directive ePrivacy,
la jurisprudence de la CJUE (sur
la notion d'établissement, par
EXPERTISES Janvier 2021

exemple) et l'article 3 de la LIL. A
l'issue de ce raisonnement, elle
écarte à nouveau l'application
du RGPD. La compétence des
autorités chef de file de Google et
d'Amazon est rejetée.

Requalification du rôle
de Google LLC et Google
Ireland Limited
La Cnil revoit la qualification
prévue par les parties dans le cadre
d'un contrat de sous-traitance
où Google LLC était qualifié de
sous-traitant agissant pour le
compte et sur instruction de
Google Ireland Limited. L'examen
réalisé par la Cnil lui permet de
requalifier la relation des parties
en responsabilité conjointe de traitements de données personnelles.
Cet examen prend en compte le fait
que la finalité est déterminée par
Google LLC (ce qui exclue donc un
rôle de sous-traitant) et que l'entité
irlandaise manque d'autonomie
décisionnelle sur « l'ensemble des
caractéristiques essentielles  » des
moyens et finalités du traitement.
On retrouve ici l'approche prônée
par le CEPD dans les nouvelles
lignes directrices sur la question 3.
Au détour de cette argumentation, la Cnil note que le DPO de
l'entité irlandaise est un employé
Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Janvier 2021 - N°464 - Le mensuel du droit de l'informatique et du multimédia
