Cookies publicitaires et RGPD : la CNIL est bien compétente

Le 10 décembre 2020, la CNIL a infligé à Google une amende de 100 millions d’euros pour violation du RGPD. Le géant du net déposait en effet des cookies publicitaires sur Google.fr sans demander le consentement des utilisateurs ; Google avait été également épinglé pour un manque d’information sur sa politique de confidentialité.

Le géant du net avait contesté la décision en référé, en mars 2021, devant un tribunal administratif, qui avait confirmé la sanction. Google s’était alors tourné vers l’ultime juridiction d’appel en France, le Conseil d’État. Ce 28 janvier 2022, ce dernier a rendu son verdict, et a validé l’amende, rendant la décision judiciaire définitive.

Google contestait deux points. Le premier était la compétence de la CNIL pour juger de ce type d’affaire. Le géant du net estimait que, s’agissant d’un traitement transfrontalier, c’est l’autorité de contrôle de son établissement principal qui était responsable, en l’occurrence la Data Protection Commission (DPC) en Irlande.

Le Conseil d’État a rejeté l’argument : « si les conditions de recueil du consentement de l’utilisateur prévues par le règlement du 27 avril 2016 [le RGPD, ndlr] sont applicables aux opérations de lecture et d’écriture dans le terminal d’un utilisateur, il n’a pas été prévu l’application du mécanisme dit du ‘guichet unique’ applicable aux traitements transfrontaliers« , précise le jugement. La CNIL est donc bien compétente pour sanctionner les manquements au RGPD sur le sol français.

Le second point contesté était le montant de l’amende, que Google trouvait excessif par rapport aux violations constatées. Le Conseil d’État a estimé que cette somme n’excédait pas la limite fixée par la loi informatique et libertés et qu’elle se justifiait par « la part de marché supérieur de 90% représentée par le moteur de recherche de Google avec une estimation de 47 millions d’utilisateurs en France ainsi que des bénéfices particulièrement importants produits par le segment de la publicité ciblée en ligne permise par les données collectées par le recours aux cookies« .