Google : la mise en conformité imposée judiciairement

Il n’y aura pas de suspension de l’injonction faite à Google par la CNIL, de mettre en conformité ses traitements avec les obligations résultant de l’article 82 de la loi informatique et libertés. Le moteur de recherche a l’obligation d’informer ses visiteurs, au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site  » google.fr « , des finalités de tous les cookies soumis au consentement, des moyens dont elles disposent pour les refuser. Pour rappel, cette injonction a été assortie d’une astreinte de 100 000 euros par jour de retard. Par ailleurs, Google n’est pas en droit de se prévaloir du « Guichet unique » de déclaration auprès d’autres autorités que la CNIL pour s’exonérer de son obligation d’information de ses internautes.

Information préalable des visiteurs  

Pour rappel, tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète, sauf s’il l’a été au préalable, par le responsable du traitement ou son représentant : 1° De la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ; 2° Des moyens dont il dispose pour s’y opposer (article 82 de la loi du 6 janvier 1978).

Ces accès ou inscriptions ne peuvent avoir lieu qu’à condition que l’abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son consentement qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle.

Ces dispositions ne sont pas applicables si l’accès aux informations stockées dans l’équipement terminal de l’utilisateur ou l’inscription d’informations dans l’équipement terminal de l’utilisateur : 1° Soit, a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ; 2° Soit, est strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.

Ces dispositions assurent la transposition en droit national de l’article 5, paragraphe 3, de la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.

Absence de guichet unique

Il résulte de ces dispositions telles qu’interprétées par la CJUE dans son arrêt C-673/17 du 1er octobre 2019, que les conditions de recueil du consentement de l’utilisateur prévues par le règlement du 27 avril 2016 sont applicables aux opérations de lecture et d’écriture dans le terminal d’un utilisateur. Ces dispositions ne prévoient pas, en revanche, l’application du mécanisme dit du guichet unique prévu à l’article 56 de ce règlement aux mesures de mise en oeuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002 qui relèvent de la compétence des Etats membres en application des dispositions de l’article 15 bis de cette directive.

L’existence de ces dispositions spécifiques fait obstacle à ce que les dispositions du règlement du 27 avril 2016 sur le mécanisme du guichet unique puissent s’appliquer. Par suite, les moyens tirés de ce que la CNIL ne serait pas compétente pour édicter l’injonction litigieuse et de ce qu’elle aurait commis une erreur de droit et une erreur de qualification juridique des faits en considérant que sa compétence exclurait l’application du mécanisme du guichet unique ne paraissent pas, en l’état de l’instruction, propre à créer un doute sérieux sur la légalité de la décision attaquée.