CNIL - Délibération n° SAN-2021-004 du 30 avril 2021 relative à l’injonction prononcée à l’encontre des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET et Christine MAUGÜE, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération no 2020-012 du 7 décembre 2020 prononçant une sanction à l’encontre des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED ;

Vu les éléments transmis par la société GOOGLE IRELAND LIMITED le 18 décembre 2020 et le 30 mars 2021 ;

Vu les autres pièces du dossier ;

Après en avoir délibéré, a adopté la décision suivante :

La délibération no 2020-012 du 7 décembre 2020 a enjoint aux sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED de :

mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés et, en particulier, d’informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site google.fr :

- des finalités de tous les cookies soumis au consentement,

- des moyens dont elles disposent pour les refuser .

Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

Le 18 décembre 2020, la société GOOGLE IRELAND LIMITED a adressé à la CNIL un courrier par lequel elle présentait les changements qu’elle envisageait de déployer sur le site web google.fr d’ici la fin du mois de février 2021 et auquel les services de la CNIL ont répondu le 17 février 2021.

Le 30 mars 2021, dans le délai fixé par la délibération, la société GOOGLE IRELAND LIMITED a adressé à la formation restreinte des éléments en vue de justifier de sa mise en conformité.

La formation restreinte relève qu’il ressort des éléments fournis dans le courrier de réponse du 30 mars 2021 que les personnes se rendant sur le site google.fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site.

Par conséquent, la formation restreinte considère que les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED ont satisfait à l’injonction dans le délai imparti.

Cette décision sera rendue publique comme l’avait été la délibération no 2020-012 du 7 décembre 2020.

La formation restreinte de la CNIL, après en avoir délibéré, décide :

- qu’il n’y a pas lieu à liquidation d’astreinte ;

- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à compter du 11 décembre 2022.

Le président

Alexandre LINDEN