60 millions d’euros d’amende pour une CMP mal configurée

Suite à la mise en application, en mai 2018, du règlement européen de protection des données personnelles (RGPD), l'Union européenne oblige, entre autres, les sites Web à demander le consentement des utilisateurs avant de déposer des traceurs (dont les cookies) sur leur terminal. La Commission nationale de l'informatique et des libertés (CNIL), en tant que régulateur des données personnelles en France, sanctionne les entreprises ne respectant pas ce cadre.

Depuis l’application de cette loi, de nombreuses sociétés ont fait les frais de ce nouveau cadre réglementaire comme Amazon, Google ou encore Facebook… Et le cas le plus récent est celui du 19 décembre 2022.

En effet, la CNIL a infligé une sanction de 60 millions d'euros à MICROSOFT IRELAND OPERATIONS LIMITED pour manquement à l’article 82 de la loi Informatique et Libertés. Le géant du web n’aurait pas donné la possibilité aux utilisateurs du moteur de recherche Bing de refuser les cookies aussi facilement qu’ils les acceptent. De plus, l’autorité française de régulation des données a également constaté le dépôt de cookies sans le consentement préalable des internautes, alors qu'ils servent des fins publicitaires.

Le régulateur français a conclu après enquête que : “Lorsque les utilisateurs visitaient ce site, des cookies étaient déposés sur leur terminal sans leur consentement, alors que ces cookies étaient utilisés, entre autres, à des fins publicitaires.”
La CNIL a également ajouté dans son communiqué que "La formation restreinte a relevé que rendre le mécanisme de refus plus complexe revient, en réalité, à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton de consentement figurant dans la première fenêtre."

Des cookies étaient déposés sur leur terminal sans leur consentement

Selon la commission, cette amende est justifiée par des bénéfices publicitaires conséquents, générés par les données collectées par les cookies.

Par ailleurs, en plus des sanctions établies, le siège européen de l'entreprise dispose d'un délai de trois mois pour modifier sa politique en matière de cookies sur le site “bing.com”, et encourt une pénalité de 60 000 euros par jour si, passé cette date, aucun changement n’est constaté.

Mais attention le défaut au règlement soulevé par la CNIL ne concerne pas seulement Microsoft. En effet, cette sanction et l’amende qui en découle peuvent toucher un grand nombre de sociétés ne paramétrant pas correctement leur CMP. Il ne suffit pas d’installer une CMP sur un site internet pour que celui-ci respecte les recommandations de la CNIL, faut-il encore que les paramètres de cette dernière respectent les exigences des autorités.

Or, nous constatons encore un grand nombre de sites dont la configuration de la CMP ne tient pas compte des exigences légales, mais plutôt des choix plus ou moins avertis de leurs propriétaires.

Heureusement, Sirdata offre une CMP parfaitement configurable graphiquement selon les critères de chacun, mais impose une conformité by-design grâce à l’expertise légale et technique de ses équipes. Par exemple, dès la publication des recommandations de la CNIL en 2020, la mécanique de refus a été mise en place instantanément sur tous les sites utilisant la CMP Sirdata sans possibilité de l’enlever, et ce, afin de protéger l’ensemble de ses utilisateurs d’une sanction par le régulateur.

Pour aller plus loin, et faciliter la tâche des gestionnaires de site, Sirdata propose également un service de conditionnement d’affichage de tags (et donc de dépôt de cookie) selon le choix donné par les internautes. Ce respect inconditionnel des règles est le socle des innovations de Sirdata en matière de vie privée !