La CNIL dans trois récentes décisions est venue rappeler le principe de consentement préalable aux cookies et a prononcé d'importantes sanctions sur ce fondement.
Les travaux de mises en conformité des sites internet et applications avec les nouvelles lignes directrices sur le consentement aux cookies et autres traceurs publiées en octobre dernier sont en cours (voir ici et pour les membres de l'Union des marques, notre présentation ici) et leur entrée en application étant rendue obligatoire à compter du 31 mars 2021.
C'est ici, selon les délibérations de la CNIL, sur le fondement des règles antérieures, et notamment celle relative au principe de recueil préalable du consentement des utilisateurs à l'installation et à la lecture de cookies et de traceurs que ces sanctions ont été prononcées.
En cause :
- un dépôt sans recueil préalable du consentement : certains cookies soumis à consentement étant déposés soit avant ou concommitamment à l'entrée sur le site, soit avant la poursuite de la navigation; parmi les cookies concernés on soulignera des cookies d'audience non exemptés auxquels un consentement aurait dû être obtenu (solutions google analytics, voir ici)
- une information insuffisante dans les bandeaux sur la finalité publicitaire des cookies lors du recueil du consentement : la finalité publicitaire n'étant pas expressément mentionnée de même que la possibilité de refuser/paramétrer ;
- Une défaillance de mécanismes de refus/opposition, dès lors que des informations pouvaient continuer à être lues sur l'un des cookies ayant fait l'objet d'un refus.
Les montants des sanctions prononcées sont élevés et illustrent les nouvelles sanctions entrées en vigueur avec le RGPD qui a modifié les maximas encourus. En l'espèce, elles s'élèvent à 2 millions 225 000 et pour Google et Amazon à100 millions et 35 millions d'euros (voir ici, ici et là).