Cookies : pourquoi la Cnil sanctionne Le Figaro d’une amende de 50 000 euros

La Cnil a annoncé jeudi 29 juillet avoir prononcé à l’encontre du Figaro une amende de 50 000 euros pour le dépôt de cookies publicitaires sur son site sans recueil du consentement préalable des internautes. L’organe de protection des données personnelles en France a assorti sa sanction financière de la médiatisation de la décision – certaines sanctions sont prononcées sans être publiées.

Après avoir été été saisi d’une plainte d’une internaute en août 2018, la Cnil a effectué cinq contrôles en ligne entre janvier 2020 et juin 2021 sur le site lefigaro.fr. Elle indique avoir constaté “à de multiples reprises que des cookies soumis à consentement étaient déposés (par des prestataires SSP de l’éditeur, ndlr) avant toute action de l’internaute ou continuaient à être lus malgré son refus”.

Une obligation de moyens très poussée

La formation restreinte de la Cnil – son instance en charge de déterminer s’il y a eu infraction – a confirmé l’instruction conduite par la rapporteure, et considéré que Le Figaro “avait manqué à ses obligations car il ne garantissait pas systématiquement le recueil du consentement des utilisateurs avant le dépôt de cookies publicitaires et le respect de leur refus au dépôt de ces cookies.” Des obligations “qui datent d’avant l’entrée en application du RGPD” et qui “perdurent dans les nouvelles lignes directrices et la recommandation du 1er octobre 2020”, a rappelé l’instance.

La Cnil applique ici le principe de coresponsabilité entre un éditeur de site et ses prestataires, dans la mesure où le premier doit avoir la maîtrise de son site et de ses serveurs. En tant qu’éditeur du site web concerné, lefigaro.fr, Le Figaro “a une part de responsabilité dans le respect de la législation sur les cookies (article 82 de la loi Informatique et Libertés) par ses partenaires déposant des cookies sur son site, souligne la Cnil. Elle doit notamment s’assurer qu’ils ne déposent pas des cookies soumis au consentement avant que les utilisateurs aient fait le choix d’accepter ou de refuser. Elle doit également s’assurer qu’ils respectent le refus exprimé par ces derniers.”

Sur ce point, la Cnil impose aux éditeurs de site non pas une obligation de résultat mais une obligation de moyens. Dans ses arguments présentés lors de l’instruction, et relayés dans la délibération complète de la Cnil, Le Figaro a mis en avant ses efforts, déployés via trois solutions : la mise en place d’une CMP, le développement d’un outil de veille destiné à identifier les cookies déposés par des tiers en violation de la réglementation pour ensuite effectuer les démarches nécessaires auprès de ces derniers, et enfin la mise en place jusqu’au 15 août 2020 d’un signal de refus temporaire par l’internaute en l’absence d’acte de navigation ou de refus des cookies par un utilisateur afin que les tiers ne puissent pas se prévaloir d’une telle inaction ou silence pour déposer des cookies publicitaires”.

Pour la Cnil, l’éditeur doit contrôler totalement l’activité de ses prestataires sur son site

La Cnil estime que ces deux dernières actions ont été inopérantes ou incomplètes – notamment via certains navigateurs – ce qui caractérise une violation du principe de consentement au dépôt de cookies. Autrement dit, la mise en place d’une CMP ne suffit pas à elle seule à satisfaire à l’obligation de moyens qui incombe aux éditeurs de sites en ligne pour s’assurer du recueil licite du consentement au dépôt de cookies, y compris concernant les activités de ses prestataires. Ce mécanisme doit être complété par un contrôle effectif et total de la part de l’éditeur sur les activités de ses prestataires. Ici, les dispositifs de suivi et d’alertes installés par Le Figaro pour identifier les éventuels cookies déposés par les prestataires en violation de la réglementation ont été en partie inopérants.

Les SSP partenaires du Figaro, à l’origine du dépôt de cookies, n’ont eux pas été inquiété par la Cnil dans le cadre de cette procédure. La présidente de la Cnil peut également décider de diligenter des contrôles en l’absence de plainte, y compris contre des prestataires. Interrogée par mind Media sur ce point, la Cnil indique que la procédure “a été dirigée contre Le Figaro pour ce qui concerne sa part de responsabilité, car cet éditeur a fait l’objet d’une plainte à la Cnil. Cette sanction vient donc confirmer les obligations de l’éditeur Le Figaro pour ce qui le concerne quand des cookies tiers sont déposés. Le reste (des responsabilités, ndlr) peut faire l’objet d’une autre procédure, mais nous ne pouvons communiquer aucun élément sur les contrôles en cours ou sur l’absence de procédure.”