Le 31 mars 2021 au plus tard, toutes opérations de lecture et/ou d'écriture d'information dans l'équipement de l'utilisateur devront être conformes aux règles législatives applicables.

La délibération de la CNIL du 17 septembre 2020 les rappelle : 

• interdiction de déposer des cookies sans consentement préalable de l’utilisateur (la personne concernée),

• information préalable claire et complète de l’utilisateur sur les finalités de chaque cookie,

• possibilité pour l’utilisateur de s’y opposer.

En pratique, la bannière « cookies » doit laisser trois options à l’utilisateur : « tout accepter », «  tout refuser » ou « paramétrer » l’acceptation ou le refus pour chaque cookie assortie de sa finalité et de sa durée de rétention.

La Cnil n’a pas attendu cette date pour frapper et avait déjà lourdement sanctionné les sociétés Google LLC et Google Ireland Limited d’une amende record de 100 millions d’euros (voir notre actualité du 14 décembre 2020 sur notre site internet : poggi-avocats.com).

Cette décision ayant été assortie d’une astreinte très élevée par jour de retard, les sociétés Google ont demandé au juge des référés du Conseil d’Etat de suspendre son exécution au motif que :

• La Cnil n’était pas compétente pour prononcer une telle injonction, cette compétence appartenant à l'autorité de contrôle de l'établissement principal du traitement en application du mécanisme dit du « guichet unique » prévu par l'article 56 du RGPD, soit l’autorité de contrôle Irlandaise,

• Le montant de l’astreinte était trop élevé, soit 100 000 euros par jour de retard,

• Le délai pour s’exécuter était trop réduit, soit jusqu’au 7 mars 2021.

Dans sa décision du 4 mars 2021, le Conseil d’état vient de rejeter cette requête pour trois raisons :

• Le mécanisme du « guichet unique » prévu par le RGPD ne s’applique pas en matière de cookies. C’est l’article 15 bis de la directive  « ePrivacy » qui fixe  la compétence des autorités de contrôle des états membres,
• Les articles 16 et 20 de la LIL autorisent la formation restreinte de la Cnil a prononcé toutes sanctions en cas de non respect des obligations découlant du RGPD et de la LIL et notamment, une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée,
• Le délai de 3 mois est « raisonnable, compte tenu des moyens techniques dont disposent les sociétés Google et de la capacité d’adaptation dont elles se prévalent.

L’arsenal juridique est en place pour que la CNIL frappe vite et fort.