Validation par le Conseil d’État de la sanction prononcée par la CNIL contre Amazon en 2020

Le 7 décembre 2020, la CNIL sanctionnait Google (100 millions d’euros) et Amazon (35 millions d’euros) pour leur pratique en matière de cookies. La sanction contre Google a été validée par le Conseil d’Etat en janvier 2022 et il ne restait ainsi plus qu’à décider du sort de la sanction dirigée contre Amazon.

Dans sa délibération du 7 décembre, la CNIL relevait deux manquements à l’article 82 de la Loi informatique et libertés (transposant la directive e-privacy) :

• ‍Un dépôt de cookies sans recueil du consentement de l’utilisateur, constatant que dès l’instant où l’utilisateur se rendait sur le site, de nombreux cookies publicitaires étaient déposés sur son ordinateur ;‍
• Un défaut d’information de l’utilisateur, constatant un manque de clarté et de transparence sur les cookies déposés et la possibilité de les refuser allant même jusqu’à une absence totale d’information dans certains cas.

‍

Par une décision du 27 juin 2022, le Conseil d’État s’est prononcé sur la validité de cette sanction.

Amazon contestait notamment la compétence de la CNIL estimant que le mécanisme de guichet unique (one stop shop) prévu par l’article 56 du RGPD aurait dû s’appliquer. Pour rappel, ce mécanisme désigne l'autorité de contrôle de l'établissement principal ou de l'établissement unique du responsable du traitement en tant qu'autorité de contrôle chef de file concernant le traitement transfrontalier effectué par ce responsable du traitement.

Tout comme c’était le cas concernant Google, cette prétention d’Amazon est rejetée par le Conseil d’État qui indique que la CNIL est compétente pour sanctionner les manquements à l’article 82 de la loi informatique et libertés dès lors que le responsable de traitement dispose sur le territoire français d’un établissement impliqué dans les activités liées au traitement effectué (point 13 de la décision).

Quant aux manquements à la réglementation relatives aux cookies, Amazon invoquait le manque de clarté de la législation en la matière et la divergence de position des différentes autorités de contrôle.

Le Conseil d’État rejette ces arguments en s’appuyant sur les différentes communications de la CNIL en matière de cookies publiées préalablement aux faits reprochés venues clarifier le cadre légal des cookies, et le fait que s’agissant des activités déployées en France c’est la position de la CNIL qui prime (point 27 de la décision).

‍

À la suite de ces éléments le Conseil d’État confirme donc la sanction en estimant que le montant de l’amende est proportionné aux manquements commis (point 31 de la décision).