Les cookies les plus chers de l’Histoire !

Dans un arrêt du 28 janvier 2022, le Conseil d’État se prononce sur la légalité de deux amendes, dont le montant s’élève à 100 millions d’euros, prononcées par la Commission nationale de l’informatique et des libertés (CNIL) à l’encontre de Google LLC et Google Ireland Limited.

En l’espèce, la CNIL, autorité administrative indépendante chargée de la régulation des données personnelles, a estimé dans une décision du 7 décembre 2020 que Google ne respectait pas les obligations qui lui incombent en matière de cookies.

Elle retient en effet la violation de l’article 82 de la loi Informatique et Liberté suite aux dépôts de cookies sur les ordinateurs d’utilisateurs de Google sans information ni consentement préalable.

Les sanctions sont donc prononcées sur le fondement de cette loi. Les sociétés sanctionnées saisissent le CE afin d’obtenir l’annulation de la délibération de la CNIL.

Les requérantes soulèvent un premier moyen tiré de l’incompétence de la CNIL. Pour ce faire, elles s’appuient sur le mécanisme dit de guichet unique européen mis en place par le Règlement général de protection des données (RGPD).

L’article 56 du RGPD prévoit la mise en place d’une autorité de contrôle chef de file chargée des questions de traitements de données transfrontaliers. En application du RGPD l’autorité compétente est l’autorité irlandaise de protection des données et non la CNIL.

La haute juridiction effectue alors un rappel de la jurisprudence de la Cour de justice de l’Union européenne qui affirme explicitement que « le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France » relèvent de la compétence de la CNIL.

Cette décision s’inscrit donc dans la lignée de la jurisprudence européenne en excluant le système du guichet unique en matière de dépôts de cookies.

Les requérantes soutiennent ensuite que la délibération litigieuse serait illégale au regard du caractère disproportionné des mesures. Le Conseil d’État effectue donc un contrôle de la proportionnalité des mesures.

Ce faisant, il met en avant d’une part les bénéfices financiers importants produits par le dépôt des cookies et d’autre part le refus persistant de coopération de Google.

La société a en effet toujours refusé de transmettre à la CNIL le montant de ses revenus publicitaires.

La mauvaise volonté de la société est donc prise en compte par le juge dans son contrôle.

La haute juridiction souligne également que la sanction prononcée n’excède pas le plafond prévu par la loi.

Compte tenu des informations précitées ainsi que de la gravité des manquements, le Conseil d’État conclut à l’absence de disproportion.

Le Conseil d’État rejette donc la demande de Google d’annuler la décision de sanction prononcée par la CNIL. En validant une décision de sanction rendue publique et d’un montant non négligeable, le Conseil fait front commun avec l’Union européenne afin de garantir la protection des données personnelles des utilisateurs.

Dans cette lignée, la CNIL condamne de nouveau Google, dans une décision du 31 décembre 2021 concernant la gestion de cookies, à une amende de 150 millions d’euros.

La décision du Conseil dissuadera-t-elle la société d’exercer un recours à son encontre ? La multiplication de ces sanctions aboutira-t-elle à une amélioration réelle de la protection des données personnelles en matière de cookies ?