Expertises des Systèmes d'information - Octobre 2021 - N°472 - Le mensuel du droit de l'informatique et du multimédia - 359

de sanction. A ce titre, elle est libre
d'apprécier l'opportunité d'engager des
poursuites de sa propre initiative ou de
décider des suites à donner aux plaintes
qu'elle peut recevoir (CE, décision
n°433069 « Plan d'action de la Cnil en
matière de publicité ciblée »). Dans le
cadre de ces actions, et notamment
suite à une plainte effectuée par un
internaute, la Cnil déterminera si les
pratiques mises en œuvre par le site
contrôlé, en matière de cookies, sont
licites.
Au
sein
de
ses
« questions
-
réponses » publiées sur son site le
18 mars 2021, concernant les lignes
directrices et la recommandation
susmentionnées, la Cnil a pu préciser
son plan d'action pour l'année 2021 :
■ une première phase fut entamée en
octobre 2020, au cour de laquelle la
Cnil a concentré ses actions sur le
respect des principes exposés dans
ses recommandations antérieures
à 2020. La Cnil a pu prendre des
mesures correctrices à l'encontre
d'organismes n'ayant pas respecté
des dispositions déjà existantes ;
■ une seconde phase de contrôle a
débuté au mois d'avril 2021, à la fin
de la période d'adaptation, et porte
donc désormais sur l'ensemble du
cadre juridique actuellement en
vigueur.
Les différents acteurs sont donc désormais
obligés de se mettre en conformité
avec les dernières lignes directrices de la
Cnil. Comme elle a pu le rappeler dans
un communiqué du 2 avril 2021, le délai
accordé pour mettre en conformité les
sites et applications mobiles aux règles
en matière de traceurs a pris fin.
Le 18 mai 2021, à l'issue de cette période
de transition, la Présidente de la Cnil
a adressé une vingtaine de mises en
demeure à des organismes publics et
des géants du Web ne se conformant
pas aux dernières lignes directrices de
l'autorité de contrôle. Deux mois plus
tard, le 19 juillet 2021, la Cnil adresse une
deuxième série de mise en demeure,
concernant cette fois-ci une quarantaine
d'autres organismes.
S'opère alors une intensification
des contrôles de la Cnil, qui énonce
d'ailleurs que « certains organismes
ne sont toujours pas en conformité
avec la législation sur les cookies », et
que « cette situation n'est pas acceptable
». L'autorité de contrôle ne compte
pas
s'arrêter
là,
témoignant
d'une
réelle volonté d'inscrire sa politique de
contrôle de la législation cookies dans la
durée. Il ne serait donc pas étonnant que
la Cnil poursuive ses campagnes intensives
de vérifications et de contrôles des
différents organismes publics et acteurs
privés durant ces prochains mois.
Par ailleurs, il est important de rappeler
que, bien que la Cnil ait la possibilité
d'adresser une lettre de mise en demeure
à un organisme afin de l'inviter à se
conformer à la législation applicable,
elle n'en a pas l'obligation. En effet, le
Conseil d'Etat a clairement énoncé « [...]
que le prononcé d'une sanction par la
formation restreinte de la Cnil n'est pas
subordonné à l'intervention préalable
d'une mise en demeure du responsable
de traitement ou du sous-traitant par la
Cnil [...] » (CE, 9 octobre 2020, Société
SERGIC, n°433311).
La récente décision de sanction de la
Cnil du 27 juillet 2021, prise à l'encontre
du journal Le Figaro, a d'ailleurs été
prononcée sans mise en demeure
préalable de corriger les manquements
à l'origine des faits litigieux (Délibération
SAN-2021-013 du 27 juillet 2021). En l'espèce,
la Cnil avait été saisie d'une plainte
à l'encontre du Figaro, au motif que cette
société aurait procédé au dépôt automatique
de cookies tiers, parfois publicitaire,
sur l'ordinateur des utilisateurs
du site, sans action positive ou malgré
un refus de ces derniers. La formation
restreinte précise qu'elle sanctionne le
non-respect d'obligations antérieures à
l'entrée en application du RGPD, et qui
n'ont fait l'objet d'aucune modification,
que ce soit au sein des nouvelles lignes
directrices ou de la recommandation du
17 septembre 2020.
Si les lignes directrices, recommandations
et récentes décisions de la Cnil
apportent des précisions sur le cadre
juridique applicable en matière de
cookies et autres traceurs, certaines
questions demeurent encore en
suspens.
C'est
notamment
le
cas
des « cookie walls », une pratique qui
consiste à conditionner l'accès à un
EXPERTISES OCTOBRE 2021
site à l'acceptation du dépôt de cookies
ou, en cas de refus, à une contrepartie
financière, et qui s'est largement répandue.
En effet, suite à la décision du
Conseil d'Etat du 19 juin 2020 évoquée
ci-dessus, à propos des « cookie walls »,
la Cnil a considéré qu'elle ne pouvait
interdire cette pratique de manière
générale et absolue. La Cnil détermine
donc, au cas par cas, si le consentement
est libre et si un cookie wall est licite ou
non, en attendant que le futur règlement
e-privacy apporte des clarifications sur
le sujet. Le critère qu'utilise actuellement
la Cnil afin de se prononcer sur la licéité
d'un « cookie wall », parfois appelé « pay
wall », est l'existence ou non d'alternatives
réelles et satisfaisantes permettant
à l'internaute d'accéder au contenu et
aux services que proposent le site, sans
accepter les cookies.
A défaut du respect de la législation
applicable en matière de cookies, la Cnil
peut imposer une amende pouvant
aller jusqu'à 2% du chiffre d'affaires
d'annuel d'une entreprise, selon l'article
20 de la loi Informatiques et libertés. La
formation restreinte, lors du prononcé
de l'amende, prend notamment en
compte l'avantage financier tiré du
manquement commis. Ce fut notamment
le cas du Figaro, dont il a été
considéré qu'il en aurait tiré un avantage
puisqu'une partie de ses revenus
est liée aux activités publicitaires réalisées
sur son site internet.
Une nouvelle fois, la politique de
contrôle de la Cnil s'inscrit dans la
durée. D'autres campagnes de vérifications
et de mesures correctrices seront
menées dès le mois de septembre par
la formation restreinte, garante de
l'application effective de ces dispositions,
afin d'assurer le respect de la vie
privée des internautes français. Ces
contrôles, initiés par la Cnil depuis plus
de deux ans, seront considérablement
facilités par la possibilité d'effectuer de
nombreux contrôles en ligne.
Vincent DENOYELLE
associé
Charlotte HADDAD
collaboratrice
Cabinet Eversheds Sutherland
359
Expertises des Systèmes d'information - Octobre 2021 - N°472 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Octobre 2021 - N°472 - Le mensuel du droit de l'informatique et du multimédia
