Le 21 janvier 2022, le Conseil d’État a jugé que la CNIL a pu valablement sanctionner Google, au terme d’une délibération portant sur les modalités d’information des personnes sur les finalités d’utilisation des cookies présents sur le moteur de recherche google.fr et sur les moyens mis à disposition pour ne pas y consentir tout aussi aisément que d’y consentir. Le 2 février 2022, l’autorité belge de protection des données a condamné l’Internet Advertising Bureau Europe, responsable du TCF qui s’est imposé depuis 2018 comme le standard de recueil et de circulation du consentement parmi les acteurs des réseaux publicitaires adhérents de l’IAB Europe. L’analyse de ces deux décisions laisse le juriste pour le moins circonspect.
I. Février 2022 : le mois le plus court, les crises les plus sombres ?
A. Le consentement aux cookies d'après un quant-à-soi français
Le 7 décembre 2020, la Commission nationale de l'informatique et des libertés (CNIL) a infligé une amende administrative à l'encontre des sociétés Google LLC et Google Ireland Limited, respectivement de 60 et de 40 millions d'euros, assorties d'une injonction de mise en conformité sous astreinte journalière de 100 000 €(1). Cette ...
Etienne Drouard
Avocat associé -
Président de la Commission juridique GESTE
Hamza Bouhassoune
Avocat
3 juin 2022 - Légipresse N°403
5243 mots
Veuillez patienter, votre requête est en cours de traitement...
(1) CNIL 7 déc. 2020, délib. no SAN-2020-012, Dalloz IP/IT 2021. 226, obs. E. Netter.
(2) CE 4 mars 2021, no 449212.
(3) CE 28 janv. 2022, n° 449209, Lebon ; AJDA 2022. 188 ; Dalloz IP/IT 2022. 62, chron. C. Crichton ; Légipresse 2022. 73 et les obs.
(4) V. infra, II.
(5) Autorité de protection des données, ch. cont., 2 févr. 2022, Transparency & Consent Framework, décis. sur le fond 21/2022.
(6) Le TCF s’est imposé depuis 2018 comme le standard de recueil et de circulation du consentement parmi les acteurs des réseaux publicitaires adhérents de l’IAB (Internet Advertising Bureau) Europe.
(7) V. infra, III.
(8) Communiqué de presse de la CNIL du 10 févr. 2022.
(9) Pour une analyse temporaire, L. Uchôa-Lefebvre, La Cnil récite un raisonnement qui n'est pas applicable à Google Analytics, Journal du net, 7 mars 2002.
(10) CJUE, gr. ch., 16 juill. 2020, Schrems II, aff. C-311/18, D. 2020. 2432, note C. Castets-Renard ; AJ contrat 2020. 436, obs. T. Douville ; Dalloz IP/IT 2020. 640, obs. B. Bertrand et J. Sirinelli ; Rev. crit. DIP 2020. 874, Eclairages A. d'Ornano ; RTD eur. 2021. 175, obs. B. Bertrand ; ibid. 973, obs. F. Benoît-Rohmer.
(11) Recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l’UE, Version 2.0 du 18 juin 2021. https://edpb.europa.eu/system/files/2022-04/edpb_recommendations_202001vo.2.0_supplementarymeasurestransferstools_fr.pdf.
(12) Déclaration conjointe de la Commission européenne et des États-Unis sur le cadre transatlantique de protection des données personnelles, 22 mars 2022 : https://ec.europa.eu/commission/presscorner/detail/fr/ip_22_2087.
(13) SRI-UDECAM, Observatoire de l'e-pub. Bilan FY 2021, 27e éd., 2022.
(14) FEVAD, Bilan du e-commerce en 2021 : les Français ont dépensé 129 milliards d'euros sur Internet, communiqué de presse, 3 févr. 2022.
(15) CE 19 juin 2020, no 434684, Lebon ; AJDA 2020. 1264 ; Dalloz IP/IT 2021. 41, obs. D. Lebeau Marianna et A. Balducci ; Légipresse 2020. 343 et les obs. ; ibid. 495, étude P. Alix ; ibid. 2021. 240, étude N. Mallet-Poujol.
(16) V. Autorité de protection des données, 2 févr. 2022, préc., qui a admis la compétence de multiples autorités et a consulté ses homologues, s'agissant du TCF de l'IAB Europe (comm. no 3).
(17) EDPB, lignes directrices 5/2020 sur le consentement au sens du règl. (UE) 2016/679, adoptées le 4 mai 2020.
(18) CJUE 29 juill. 2019, Fashion ID, aff. C-40/17, D. 2019. 1604 ; ibid. 2266, obs. J. Larrieu, C. Le Stanc et P. Tréfigny ; Dalloz IP/IT 2020. 126, obs. T. Douville ; Légipresse 2019. 448 et les obs. ; ibid. 613, obs. E. Drouard et J. Beaufour ; RTD eur. 2020. 319, obs. F. Benoît-Rohmer.
(19) IAB Europe, Belgian DPA (“APD”) Decision on IAB Europe and the TCF : IAB Europe Submits Action Plan, A Key Milestone in the Process, iabeurope.eu, 1er avr. 2022.
(20) CJUE, gr. ch., 6 oct. 2015, Maximillian Schrems c/ Data Protection Commissioner (Irlande), aff. C-362/14, AJDA 2015. 2257, chron. E. Broussy, H. Cassagnabère et C. Gänser ; D. 2016. 111, note B. Haftel ; ibid. 88, point de vue C. Castets-Renard ; ibid. 2025, obs. L. d'Avout et S. Bollée ; AJ pénal 2015. 601, obs. E. Daoud ; Dalloz IP/IT 2016. 26, étude C. Théard-Jallu, J.-M. Job et S. Mintz ; RTD eur. 2015. 786, obs. M. Benlolo-Carabot ; ibid. 2017. 361, obs. F. Benoît-Rohmer ; ibid. 365, obs. F. Benoît-Rohmer.
(21) CJUE, gr. ch., 16 juill. 2020, Data Protection Commissioner (Irlande) c/ Facebook Ireland Ltd, Maximillian Schrems, aff. C-311/18, D. 2020. 2432, note C. Castets-Renard ; AJ contrat 2020. 436, obs. T. Douville ; Dalloz IP/IT 2020. 640, obs. B. Bertrand et J. Sirinelli ; Rev. crit. DIP 2020. 874, Eclairages A. d'Ornano ; RTD eur. 2021. 175, obs. B. Bertrand ; ibid. 973, obs. F. Benoît-Rohmer.