E-commerce et protection des données : la sanction de Google et Amazon par la CNIL

La procédure de contrôle réalisée par la CNIL en mars 2020 avait pour objet de vérifier le respect de l’article 82 de la loi du 6 janvier 1978[1]. Il en ressort que plusieurs cookies étaient automatiquement déposés sur le terminal d’un utilisateur d’une page Google sans qu’aucune action ne soit requise. Un procès-verbal a ainsi été enjoint à l’entreprise pour régulariser sa situation mais il a été reproché l’incompétence de la CNIL dans le contrôle du site web. Pour rappel, en vertu de la directive ePrivacy[2], les internautes doivent, selon les cas, être informés et donner leur consentement préalablement au dépôt et à la lecture de certains traceurs, aussi appelés « cookies ».

Malgré une similitude des décisions, Amazon conteste le respect au droit à un procès équitable tandis que Google met en exergue l’incompétence de la CNIL face aux sociétés, Google LLC et Google Ireland Limited, dont l’une est située aux Etats-Unis, et l’autre à Dublin. En ce sens, la CNIL fait valoir les dispositions de l’article 3 §1[3] qui pose les critères de sa compétence territoriale. Les activités du site web avaient pour objet les opérations d’accès et l’inscription d’informations dans le terminal d’utilisateurs résidant en France[4]. La CNIL fait ainsi prévaloir l’application de la directive ePrivacy au détriment du mécanisme du guichet unique prévu par le RGPD. Il est également fait référence à l’appréciation extensive de la notion « d’établissement responsable de traitement » pouvant s’appliquer à une personne morale autonome d’un même groupe[5] puisque les activités de l’établissement étant effectuées par l’entreprise visée.

Il est reproché aux deux sociétés leur manquement à l’obligation d’information, le recueil du consentement de l’utilisateur ainsi que l’opposition de ce dernier au traitement de l’opération. Une information claire et complète sur les accès de cookies doit être délivrée à l’internaute pour ensuite être consentis. En l’espèce, l’information du site web n’était pas mise en évidence et ne permettait pas à l’utilisateur de s’en accommoder. En effet, aucune information « relative au dépôt de cookies sur l’équipement terminal n’était fournie à ce stade aux personnes concernées alors que des traceurs ayant une finalité publicitaire avaient déjà été déposés sur leur terminal »[6].

Il en va de même pour Amazon, site web sur lequel, des cookies étaient générés dès l’instant où l’utilisateur se rendait sur le site[7], contrevenant ainsi, à une information préalable, complète et existante.

Au même titre que le consentement de l’utilisateur, malgré une possible désactivation des cookies de sa part, la CNIL relève que des traceurs étaient toujours stockés sur le terminal de l’utilisateur malgré leur désactivation. Faussant ainsi la potentielle opposition de l’internaute au moteur Google Search.

Les enjeux économiques colossaux, encore plus accentués par la crise sanitaire, ravivent des tensions vis-à-vis des GAFAM, les propulsant au rang de cibles numériques à démanteler. Mais ces deux délibérations, illustrant une attention particulière portée aux utilisateurs, témoignent aussi de l’essor du commerce électronique qui mérite un encadrement spécifique.