CNIL - Délibération n° SAN-2022-016 du 11 juillet 2022 concernant la société FACEBOOK IRELAND LIMITED

Délibération de la formation restreinte no SAN-2022-016 du 11 juillet 2022 relative à l’injonction prononcée à l’encontre de la société FACEBOOK IRELAND LIMITED par la délibération no 2021-024 du 31 décembre 2021

La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de mesdames Anne DEBET et Christine MAUGÜÉ ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi

no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération no 2021-024 du 31 décembre 2021 prononçant une injonction à l’encontre de la société FACEBOOK IRELAND LIMITED ;

Vu les éléments transmis par la société META PLATFORMS IRELAND LIMITED les 1er février et 1er avril 2022 pour démontrer sa conformité à l’injonction ;

Vu le courrier du 5 avril 2022 par lequel le président de la formation restreinte a demandé au rapporteur d’intervenir à nouveau dans la procédure pour effectuer des vérifications complémentaires ;

Vu la décision de contrôle n° 2022-063C du 7 avril 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements accessibles à partir du domaine facebook.com ou portant sur des données à caractère personnel collectées à partir de ce dernier ;

Vu le courrier de Madame Valérie PEUGEOT, commissaire rapporteure, notifié aux conseils de la société META PLATFORMS IRELAND LIMITED le 20 mai 2022 ;

Vu les observations en réponse versées par les conseils de la société META PLATFORMS IRELAND LIMITED le 7 juin 2022 ;

Vu les autres pièces du dossier ;

Après en avoir délibéré, a adopté la décision suivante :

La délibération no 2021-024 du 31 décembre 2021 a enjoint à la société FACEBOOK IRELAND LIMITED de :

" modifier, sur le site web " facebook.com", les modalités de recueil du consentement des utilisateurs situés en France aux opérations de lecture et/ou d’écriture d’informations dans leur terminal, en leur offrant un moyen de refuser ces opérations présentant une simplicité équivalente au mécanisme prévu pour leur acceptation, afin de garantir la liberté de leur consentement ".

Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

Les 1er février et 1er avril 2022, dans le délai fixé par la délibération, la société META PLATFORMS IRELAND LIMITED, qui a succédé à la société FACEBOOK IRELAND LIMITED, a adressé au président de la formation restreinte des éléments en vue de justifier de sa mise en conformité, en présentant les changements déployés sur le site web " facebook.com " à partir de la fin du mois de février.

Par courrier du 5 avril 2022, le président de la formation restreinte a demandé à la rapporteure d’intervenir à nouveau aux fins d’instruction de ces éléments, sur le fondement de l’article 44 du décret n°2019-536 du 29 mai 2019, pour s’assurer que le mécanisme de refus proposé par la société est bien effectif.

Afin de pouvoir procéder aux diligences utiles sur le fondement de l’article 39 du décret précité, la rapporteure a demandé à la présidente de la Commission, par un courrier électronique du 7 avril 2022, de charger le secrétaire général de faire procéder à une mission de vérification des traitements mis en œuvre sur le site web " facebook.com ".

Le 12 avril 2022, une délégation de la CNIL a effectué un contrôle en ligne sur le site web " facebook.com ", au cours duquel elle a constaté le présence dans son terminal d’un cookie dénommé " oo ", dont le dépôt n’avait pas été constaté lors du contrôle en ligne du 8 avril 2021 à l’origine de la procédure de sanction.

Par courrier notifié à la société le 20 mai 2022, la rapporteure a demandé à la société de lui indiquer, dans un délai de quinze jours, " la finalité (par exemple : technique, publicitaire, bouton de partage de réseau social, mesure d’audience, etc.) du cookie dénommé " oo " dont le dépôt a été constaté dans le cadre du contrôle en ligne du 12 avril 2022, en fournissant toute documentation nécessaire pour en attester ".

Par courrier en réponse du 7 juin 2022, la société a apporté les précisions demandées.

La formation restreinte relève qu’il ressort des éléments fournis par la société dans ses différents courriers que les personnes se rendant sur le site web " facebook.com " se voient désormais proposées un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant une simplicité équivalente au mécanisme prévu pour leur acceptation.

Après analyse des modalités proposées, la formation restreinte considère que la société META PLATFORMS IRELAND LIMITED a satisfait à l’injonction dans le délai imparti.

Cette décision sera rendue publique comme l’avait été la délibération no 2021-024 du 31 décembre 2021.

La formation restreinte de la CNIL, après en avoir délibéré, décide :

- qu’il n’y a pas lieu à liquidation d’astreinte ;

- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à compter du 6 janvier 2024.

Le Président

Alexandre LINDEN