60 millions d'euros d'amende pour Microsoft pour avoir imposé ses cookies publicitaires sur Bing

C’est un cadeau de Noël dont Microsoft se serait sûrement bien passé. Le gendarme français de la vie privée, la Cnil, a prononcé le 19 décembre dernier une sanction de 60 millions d’euros à l’encontre de l’entreprise américaine, assortie de 60 000 euros par jour de retard après le délai de trois mois accordé par l’autorité pour se mettre en conformité.

Dans sa décision rendue publique jeudi, on apprend que la Cnil s’est penchée sur le moteur de recherche Bing entre septembre 2020 et mai 2021 et a pu remarquer que des cookies publicitaires étaient déposés sur le terminal des utilisateurs, sans leur consentement préalable. Elle a également constaté l’absence d’un bouton permettant de refuser ce dépôt aussi facilement que de l’accepter, condition indispensable pour être en conformité avec les lignes directrices établies par la Cnil.

Compétence de la Cnil

L’autorité fonde ses exigences sur l’article 82 de la loi Informatique et Libertés qui prévoit qu’un utilisateur doit être “informé de manière claire et complète” des finalités de toute information stockée sur ses appareils et des moyens à sa disposition pour s’y opposer. L’opérateur ne peut procéder à cette inscription d’informations, en l’occurrence le dépôt de cookies, à la seule condition que l’utilisateur “ait exprimé, après avoir reçu cette information, son consentement”.

Cet article résulte de la transposition de la directive ePrivacy dans la législation française — ce qui permet à la Cnil française de sévir. Pour tout manquement au RGPD, c’est l’autorité "cheffe de file" qui aurait été compétente, l’autorité de protection des données irlandaises dans ce cas, puisque le siège de Microsoft se trouve à Dublin.

Le considérant 42 de la directive européenne note que “le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice".

Un mécanisme "peu explicite"

Or, comme le souligne l’autorité française dans sa délibération, le mécanisme mis en place pour les utilisateurs de Bing était “peu explicite”. La Cnil estime que “le fait de rendre le mécanisme de refus des cookies plus complexe que celui consistant à les accepter revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton 'Accepter'” et que, à défaut d’un bouton “Tout refuser” comme celui en vigueur depuis mars dernier, l’entreprise manquait jusqu’alors à ses obligations.

Ainsi, selon elle, le montant de l’amende est justifié au regard de la portée du traitement, du nombre de personnes concernées et des bénéfices publicitaires permis par ce contournement des règles.

Sélectionné pour vous

L'Assemblée nationale adopte le projet de loi pour encadrer les influenceurs

Dark stores : la mairie de Paris remporte son bras de fer contre Gorillas et Frichti

"Fair share" : Meta argumente pied à pied contre le projet de taxe visant les GAFAM