La décision de la CNIL du 7 décembre 2020

Le 7 décembre 2020, la CNIL prononçait une amende d’un montant de 35 millions d’euros à l’encontre de la société AMAZON EUROPE CORE, notamment pour avoir déposé des cookies publicitaires sur les ordinateurs d’utilisateurs du site de vente « Amazon.fr » sans consentement préalable ni information satisfaisante.

Dans sa décision, la CNIL a retenu deux violations à l’article 82 de la loi Informatique et Libertés (transposant la directive « e-Privacy »).

Tout d’abord, la CNIL a relevé que lorsqu’un utilisateur se rendait sur le site « Amazon.fr », un grand nombre de cookies poursuivant une finalité publicitaire étaient automatiquement déposés sur son ordinateur sans action de sa part. Ce type de cookies n’étant pas essentiel au service, la CNIL a considéré que la société n’avait pas respecté l’obligation de recueillir le consentement des internautes avant le dépôt des cookies.

Ensuite, la CNIL a estimé que le bandeau qui s’affichait sur le site « Amazon.fr » ne permettait pas aux utilisateurs résidant en France d’être préalablement et clairement renseignés sur le dépôt de cookies, en particulier sur les objectifs de ces cookies et les moyens pour les refuser.

En outre, la CNIL a relevé que lorsque les utilisateurs se rendaient sur le site « Amazon.fr » après avoir cliqué sur une annonce publiée sur un autre site web, les mêmes cookies étaient déposés mais sans que le moindre bandeau ne soit affiché.

L’arrêt du Conseil d’État du 27 juin 2022

Dans la lignée de sa décision du 28 janvier 2022 rendue dans le cadre de la sanction contre GOOGLE, le Conseil d’État a confirmé la compétence de la CNIL à prendre des sanctions sur les cookies en dehors du mécanisme de guichet unique prévu par le RGPD. Il a rappelé que la CNIL était compétente pour sanctionner les manquements à l’article 82 de la loi Informatique et Libertés, même dans le cas où le responsable de traitement n’est pas en établi en France, mais qu’il dispose sur le territoire français d’un établissement impliqué dans les activités liées au traitement effectué, ici la promotion et la commercialisation d’outils publicitaires par la société Amazon Online France.

Sur le fond, le Conseil d’État confirme les deux violations à l’article 82 de la loi Informatique et Libertés sanctionnées par la CNIL : le dépôt de cookies sans consentement préalable et l’information défaillante des utilisateurs.

Enfin, le Conseil d’État estime que le montant de l’amende prononcé par la CNIL n’est pas disproportionné au regard de la gravité des manquements, de la portée des traitements et de la capacité financière de la société.

La décision du Conseil d’État
– Conseil d’État 451423, lecture du 27 juin 2022, décision n° 451423