[Brèves] Cookies : sanction de 60 millions d’euros à l’encontre de Microsoft

► Le 19 décembre 2022, la formation restreinte de la CNIL a sanctionné la société Microsoft à hauteur de 60 millions d’euros, notamment pour ne pas avoir mis en place un mécanisme permettant de refuser les cookies aussi facilement que de les accepter.

Le contexte. À la suite d’une plainte portant sur les conditions du dépôt de cookies sur « bing.com », la CNIL a effectué plusieurs contrôles sur le site web en septembre 2020 et mai 2021.

Elle a constaté que lorsqu’un utilisateur se rendait sur ce site, des cookies étaient déposés sur son terminal sans consentement de sa part alors qu’ils poursuivaient, notamment, un objectif publicitaire. Elle a également constaté l’absence d’un bouton permettant de refuser le dépôt de cookies aussi facilement que de l’accepter.

Les manquements. La formation restreinte a relevé des manquements à l’article 82 de la loi « Informatique et Libertés » (loi n° 78-17, du 6 janvier 1978 N° Lexbase : L8794AGS).

Lorsqu’un utilisateur se rendait sur le moteur de recherche « bing.com », un cookie poursuivant plusieurs finalités, dont des finalités de lutte contre la fraude publicitaire, était automatiquement déposé sur son terminal sans action de sa part. Par ailleurs, lorsqu’il poursuivait la navigation sur le moteur de recherche, un cookie poursuivant une finalité publicitaire était déposé sur son terminal, toujours sans que son consentement n’ait été recueilli.

Or, la loi impose que ce type de cookies ne soit déposé qu’après consentement de l’utilisateur.

Si le moteur de recherche proposait un bouton permettant d’accepter immédiatement les cookies, il ne proposait pas de solution équivalente (bouton de refus ou autre) pour permettre à l’internaute de les refuser aussi facilement. Deux clics étaient nécessaires pour refuser tous les cookies, un seul pour les accepter.

La formation restreinte a relevé que rendre le mécanisme de refus plus complexe revient, en réalité, à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton de consentement figurant dans la première fenêtre. Elle a considéré qu’un tel procédé portait atteinte à la liberté du consentement des internautes.

La formation restreinte a conclu que les conditions de recueil de consentement qui étaient proposées aux utilisateurs jusqu’à la mise en place d’un bouton « Tout refuser » le 29 mars 2022, constituaient une violation de la loi.

La sanction. En conséquence, la formation restreinte a prononcé  une amende de 60 millions d’euros, rendue publique. Elle a justifié ce montant par la portée du traitement, par le nombre de personnes concernées et par les bénéfices que la société tire des revenus publicitaires indirectement générés à partir des données collectées par les cookies.

En complément de l’amende administrative, la formation restreinte a également adopté une injonction sous astreinte afin que la société recueille sur le site web « bing.com », dans un délai de trois mois, le consentement des personnes résidant en France avant de déposer sur leur terminal des cookies et traceurs à finalité publicitaire. Dans le cas contraire, Microsoft s’exposera au paiement d’une astreinte de 60 000 euros par jour de retard.

© Reproduction interdite, sauf autorisation écrite préalable