{"id":12509,"date":"2023-06-26T22:22:24","date_gmt":"2023-06-26T20:22:24","guid":{"rendered":"https:\/\/www.agilit.law\/?p=12509"},"modified":"2023-06-26T22:53:14","modified_gmt":"2023-06-26T20:53:14","slug":"criteo-cnil-sanction-amende-administrative-40-millions-euros-responsabilite-conjointe","status":"publish","type":"post","link":"https:\/\/www.agilit.law\/en\/donnees-caractere-personnel\/criteo-cnil-sanction-amende-administrative-40-millions-euros-responsabilite-conjointe\/","title":{"rendered":"Criteo : la Cnil inflige une amende administrative de 40 millions d\u2019euros et rappelle qu\u2019une responsabilit\u00e9 conjointe l’est r\u00e9ellement !"},"content":{"rendered":"

Le 15 juin 2023, <\/em>la formation restreinte de la Commission Nationale de l\u2019Informatique et des Libert\u00e9s (Cnil) a publi\u00e9 la d\u00e9lib\u00e9ration par laquelle elle inflige \u00e0 la soci\u00e9t\u00e9 Criteo une amende administrative s\u2019\u00e9levant \u00e0 40 millions d\u2019euros<\/em><\/a> au titre de diff\u00e9rents manquements au RGPD, malgr\u00e9 les arguments avanc\u00e9s par Criteo lors de son audition devant la formation restreinte afin d\u2019obtenir une minoration de cette sanction p\u00e9cuniaire.<\/em><\/p>\n

\u00a0<\/em><\/p>\n

Criteo est une soci\u00e9t\u00e9 sp\u00e9cialis\u00e9e dans l\u2019affichage de publicit\u00e9s cibl\u00e9es sur le web. Les traitements mis en \u0153uvre \u00e0 cette fin n\u00e9cessitent le suivi des habitudes de navigation des internautes afin d\u2019afficher des annonces personnalis\u00e9es, gr\u00e2ce aux cookies d\u00e9pos\u00e9s dans leurs terminaux.<\/p>\n

L\u2019association \u00ab\u00a0Privacy International\u00a0\u00bb a saisi a Cnil d\u2019une plainte le 8 novembre 2018, dans laquelle elle soulignait notamment que les traitements de donn\u00e9es \u00e0 caract\u00e8re personnel r\u00e9alis\u00e9s par la soci\u00e9t\u00e9 Criteo n\u2019\u00e9taient pas conformes \u00e0 l\u2019article 5, paragraphe 1 du RGPD<\/a> qui fixe les principes relatifs au traitement des donn\u00e9es \u00e0 caract\u00e8re personnel.<\/p>\n

L\u2019association \u00ab\u00a0None of Your Business\u00a0\u00bb avait, quant \u00e0 elle, le 4 d\u00e9cembre 2018, adress\u00e9 une r\u00e9clamation \u00e0 la Cnil dans laquelle elle se plaignait du formalisme qui lui avait \u00e9t\u00e9 impos\u00e9 par Criteo apr\u00e8s qu\u2019elle eut souhait\u00e9 retirer son consentement et exerc\u00e9 son droit d\u2019opposition au traitement de ses donn\u00e9es.<\/p>\n

Apr\u00e8s un \u00e9change de courriers entre Criteo et la Cnil au cours de l\u2019ann\u00e9e 2020, un contr\u00f4le sur place et un contr\u00f4le en ligne ont \u00e9t\u00e9 diligent\u00e9s par la Cnil durant cette m\u00eame ann\u00e9e.<\/strong><\/p>\n

A l\u2019issue de l\u2019instruction, le rapporteur de la Cnil proposait \u00e0 la formation restreinte de prononcer une amende administrative de 60 millions d\u2019euros \u00e0 l\u2019encontre de Criteo, et de rendre publique la d\u00e9cision.<\/p>\n

A la suite de la s\u00e9ance de la formation restreinte s\u2019\u00e9tant tenue le 16 mars 2023, la d\u00e9lib\u00e9ration de la formation restreinte de la Cnil a \u00e9t\u00e9 publi\u00e9e au Journal Officiel le 22 juin 2023 et caract\u00e9rise les manquements d\u00e9velopp\u00e9s ci-dessous.<\/strong><\/p>\n

 <\/p>\n

*\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0\u00a0 *<\/p>\n

*<\/p>\n

 <\/p>\n

1. Manquement \u00e0 l’obligation de d\u00e9montrer que la personne concern\u00e9e a donn\u00e9 son consentement au traitement de ses donn\u00e9es \u00e0 caract\u00e8re personnel<\/u><\/h3>\n

L\u2019article 6, paragraphe 1 du RGPD<\/a> dispose que \u00ab\u00a0le traitement n’est licite que si, et dans la mesure o\u00f9, au moins une des conditions suivantes est remplie :<\/p>\n

1. a) la personne concern\u00e9e a consenti au traitement de ses donn\u00e9es \u00e0 caract\u00e8re personnel pour une ou plusieurs finalit\u00e9s sp\u00e9cifiques; (\u2026) \u00bb.<\/p>\n

Le rapporteur de la Cnil constate qu\u2019aucune mesure n\u2019avait \u00e9t\u00e9 mise en \u0153uvre par Criteo pour s\u2019assurer qu\u2019elle traitait uniquement les donn\u00e9es \u00e0 caract\u00e8re personnel des personnes pour lesquelles le consentement \u00e0 un tel traitement avait \u00e9t\u00e9 recueilli.<\/p>\n

En r\u00e9ponse, Criteo invoquait l\u2019arr\u00eat \u00ab\u00a0Fashion ID<\/a>\u00a0\u00bb rendu par la Cour de justice de l\u2019Union europ\u00e9enne le 29 juillet 2019 et faisait valoir que ses partenaires (qui avaient la qualit\u00e9 de responsables conjoints de traitement) \u00e9taient les mieux plac\u00e9s pour collecter le consentement des personnes concern\u00e9es puisque le cookie Criteo \u00e9tait d\u00e9pos\u00e9 dans le terminal des internautes lors de leur navigation sur les sites web des partenaires.<\/p>\n

Les diff\u00e9rents accords conclus avec ses partenaires en vertu de l\u2019article 26 du RGPD<\/a> imposaient d\u2019ailleurs \u00e0 ces derniers cette obligation.<\/p>\n

Criteo indiquait \u00e9galement avoir proc\u00e9d\u00e9 \u00e0 diff\u00e9rents audits aupr\u00e8s de ses partenaires et futurs partenaires, ayant notamment permis d\u2019appr\u00e9cier la pr\u00e9sence d\u2019une banni\u00e8re cookies et d\u2019une politique de confidentialit\u00e9 sur leurs sites internet.<\/p>\n

La formation restreinte rel\u00e8ve que Criteo lui avait indiqu\u00e9, dans sa r\u00e9ponse \u00e0 un questionnaire dat\u00e9 de janvier 2020, que tous les traitements r\u00e9alis\u00e9s en Europe dans le cadre de ses services \u00e9taient \u00ab\u00a0bas\u00e9s sur le consentement de l\u2019utilisateur\u00a0\u00bb. La politique de confidentialit\u00e9 de la soci\u00e9t\u00e9 mentionnait \u00e9galement le consentement comme base l\u00e9gale applicable pour les finalit\u00e9s d\u2019affichage de publicit\u00e9s personnalis\u00e9es.<\/p>\n

Elle estime ensuite que le fait que la collecte du consentement des internautes revienne aux partenaires n\u2019exon\u00e8re aucunement Criteo de son obligation de d\u00e9montrer que la personne concern\u00e9e a donn\u00e9 son consentement, conform\u00e9ment \u00e0 l\u2019article 7 du RGPD<\/a>.<\/p>\n

La formation restreinte \u00e9carte \u00e9galement l\u2019application de l\u2019arr\u00eat \u00ab\u00a0Fashion ID\u00a0\u00bb de la CJUE.<\/p>\n

Au surplus, la formation restreinte de la Cnil rel\u00e8ve que sur sept sites partenaires analys\u00e9s lors des v\u00e9rifications en ligne et du contr\u00f4le sur place, elle a constat\u00e9 le d\u00e9p\u00f4t d\u2019un cookie Criteo sur le terminal utilis\u00e9 sans la moindre action de la part du visiteur. Sur trois sites, l\u2019internaute n\u2019avait d\u2019autre possibilit\u00e9 pour refuser les cookies que de param\u00e9trer son navigateur, ce qui ne constitue pas un m\u00e9canisme valable de refus du consentement. Deux autres sites ne comportaient aucun dispositif permettant de recueillir le consentement au d\u00e9p\u00f4t de cookies.<\/p>\n

Criteo avait, lors de ses observations orales devant la formation restreinte, critiqu\u00e9 le nombre de sites visit\u00e9s par la Cnil qu\u2019elle estimait insuffisant. La formation restreinte balaye cet argument en estimant \u00ab\u00a0qu\u2019il peut \u00eatre raisonnablement inf\u00e9r\u00e9 des constatations pr\u00e9cit\u00e9es qu\u2019\u00e0 la date des contr\u00f4les, la soci\u00e9t\u00e9 traitait un volume important de donn\u00e9es de navigation pour lesquelles les internautes n\u2019avaient pas donn\u00e9 un consentement valable\u00a0\u00bb.<\/p>\n

Enfin, la formation restreinte de la Cnil rel\u00e8ve qu\u2019\u00e0 la date de la proc\u00e9dure de contr\u00f4le, aucune mesure qui aurait permis de consid\u00e9rer sa conformit\u00e9 avec l\u2019article 7, paragraphe 1 du RGPD n\u2019avait \u00e9t\u00e9 mise en \u0153uvre par Criteo (cf. clause sp\u00e9cifique portant sur la preuve du consentement dans les conditions g\u00e9n\u00e9rales d\u2019utilisation, notamment).<\/strong><\/p>\n

Si Criteo s\u2019est, depuis, mise en conformit\u00e9 avec les exigences de ce texte, comme le rel\u00e8ve la formation restreinte de la Cnil, cette derni\u00e8re souligne que cette mise en conformit\u00e9 tardive n\u2019a pas d\u2019incidence sur le fait que des donn\u00e9es \u00e0 caract\u00e8re personnel ont \u00e9t\u00e9 trait\u00e9es sans que le recueil du consentement valable des personnes concern\u00e9es puisse \u00eatre d\u00e9montr\u00e9.<\/p>\n

Un manquement \u00e0 l\u2019article 7, paragraphe 1 du RGPD est donc caract\u00e9ris\u00e9.<\/p>\n

 <\/p>\n

2. Manquement aux obligations d’information et de transparence<\/u><\/h3>\n

L\u2019article 12 du RGPD<\/a> impose au responsable de traitement de prendre les mesures appropri\u00e9es pour fournir les informations vis\u00e9es aux articles 13 et 14<\/a> du r\u00e8glement \u00e0 la personne concern\u00e9e, parmi lesquelles l\u2019identit\u00e9 et les coordonn\u00e9es du responsable du traitement, les finalit\u00e9s du traitement, les destinataires de donn\u00e9es \u00e0 caract\u00e8re personnel, des informations sur les transferts hors Union europ\u00e9enne des donn\u00e9es,\u2026<\/p>\n

Le rapporteur de la Cnil rel\u00e8ve une information incompl\u00e8te transmise aux personnes concern\u00e9es car la politique de confidentialit\u00e9 ne renseignait pas toutes les finalit\u00e9s du traitement, ainsi qu\u2019un manque de clart\u00e9 sur la base juridique applicable au traitement telle qu\u2019indiqu\u00e9e dans les conditions g\u00e9n\u00e9rales d\u2019utilisation des services de Criteo et qui diff\u00e9rait en fonction du pays. Les finalit\u00e9s indiqu\u00e9es dans la politique de confidentialit\u00e9 \u00e9taient \u00e9galement exprim\u00e9es dans des termes vagues et larges, ne permettant pas \u00e0 l\u2019utilisateur de comprendre pr\u00e9cis\u00e9ment quelles donn\u00e9es \u00e9taient utilis\u00e9es, et pour quel objectif.<\/p>\n

Criteo r\u00e9futait le manquement \u00e0 l\u2019article 13 du RGPD portant sur les informations devant \u00eatre communiqu\u00e9es \u00e0 la personne concern\u00e9e lorsque les donn\u00e9es sont collect\u00e9es directement aupr\u00e8s d\u2019elle, et soutenait que la collecte des donn\u00e9es via ses cookies constituait une collecte indirecte.<\/p>\n

La formation restreinte, au contraire, consid\u00e8re que les donn\u00e9es sont directement collect\u00e9es par Criteo, d\u00e8s lors que les requ\u00eates du cookie Criteo qui permettent \u00e0 la soci\u00e9t\u00e9 de savoir qu\u2019un internaute arrive sur la page d\u2019accueil d\u2019un site partenaire, se connecte \u00e0 un compte, clique sur une page,\u2026 sont directement adress\u00e9es \u00e0 ses serveurs, et que Criteo aurait d\u00fb proc\u00e9der \u00e0 une information compl\u00e8te \u00e0 l’\u00e9gard des personnes concern\u00e9es.<\/strong><\/p>\n

Criteo a, depuis les contr\u00f4les, modifi\u00e9 sa politique de confidentialit\u00e9 pour la mettre en conformit\u00e9.<\/p>\n

La formation restreinte en prend acte, mais caract\u00e9rise un manquement aux articles 12 et 13 du RGPD.<\/p>\n

 <\/p>\n

3. Manquement \u00e0 l\u2019obligation de respecter le droit d\u2019acc\u00e8s des personnes concern\u00e9es<\/u><\/h3>\n

L\u2019article 15 du RGPD<\/a> donne le droit \u00e0 la personne concern\u00e9e d\u2019acc\u00e9der \u00e0 ses donn\u00e9es \u00e0 caract\u00e8re personnel trait\u00e9es par le responsable du traitement.<\/p>\n

Lorsqu\u2019une personne formulait une demande de droit d\u2019acc\u00e8s \u00e0 Criteo, la soci\u00e9t\u00e9 lui fournissait des donn\u00e9es extraites de trois tables de donn\u00e9es\u00a0:<\/p>\n