Cookies : pourquoi Amazon reste exposé à des sanctions de la Cnil
Tout n'est pas encore réglé pour Amazon, mais l'entreprise américaine peut au moins se satisfaire d'avoir bouclé une affaire en cours avec la Commission nationale de l'informatique et des libertés (Cnil).
Rappel des faits : le 7 décembre 2020, la Cnil prononçait une amende de 35 millions d'euros contre Amazon, après l'analyse de ses pratiques en matière de cookies et des obligations qu’elle doit suivre pour être en conformité. Ses observations n'étaient pas bonnes : informations floues et incomplètes, dépôt de cookies sans information, impossibilité de les refuser, etc.
Appelés aussi témoins de connexion, les cookies sont des fichiers informatiques qui sont déposés sur l'ordinateur de l'internaute, via son navigateur web. Ils remplissent diverses tâches, dont certaines sont très utiles, voire indispensables. D'autres sont peu appréciées : c'est le cas des cookies publicitaires, qui sont capables de suivre l'activité d'un internaute sur le web. De fait, on en parle aussi comme des traceurs.
Aux yeux de la Cnil, les choses sont rentrées dans l'ordre, en tout cas pour ce qui relevait du périmètre de son injonction. L'autorité avait laissé trois mois à Amazon pour revoir une série de pratiques. En particulier, il fallait que l'entreprise informe le public, « au préalable et de manière claire et complète », de ce qu'elle fait avec tous ses cookies et des moyens qui s'offrent à lui pour les refuser.
La Cnil précise que cela ne concernait que les cookies qui sont soumis au consentement (ce qui inclut, par exemple, les cookies publicitaires). Il existe des témoins de connexion qui y échappent : c'est le cas de ceux qui servent à mémoriser le contenu d'un panier d'achats sur un site marchand, de ceux qui servent à certaines mesures d'audience ou de personnalisation (changement de langue par exemple).
La Cnil avait convoqué l’article 82 de la loi de 1978 sur l’informatique, aux fichiers et aux libertés pour presser Amazon de changer ses pratiques. Cet article traite de l'obligation d'une information claire et complète, le cas échéant au préalable, des buts des cookies et des moyens existants pour s'y opposer. Amazon risquait de payer en plus 100 000 euros par jour en cas de retard, après les trois mois.
Les cookies doivent pouvoir être refusés très facilement
Pour autant, Amazon n'est pas encore tiré d'affaire. S'il a pu en finir avec cette injonction et satisfaire la Cnil en corrigeant à temps le défaut d'information, lui évitant d'avoir à payer 100 000 euros par jour en plus de la sanction de 35 millions d'euros, le groupe reste exposé. La Cnil ne veut pas seulement un bandeau d'information complet : elle veut aussi un bandeau d'information loyal.
C'est ce qu'explique la Commission : « Cette décision de clôture ne préjuge pas de l’analyse de la CNIL quant à la conformité du site Amazon.fr [envers des exigences] selon lesquelles l’utilisateur doit désormais être en mesure de refuser les cookies aussi facilement qu’il peut les accepter ». En clair, les actions pour refuser les cookies doivent bénéficier de la même visibilité que celles pour les accepter.
La Cnil n'a pas encore pu se pencher spécifiquement sur le cas d'Amazon, dans la mesure où cette affaire, désormais bouclée, est survenue avant la date limite de ces nouvelles exigences. Cependant, la Commission nationale de l'informatique et des libertés prévient qu'elle se laisse toute latitude pour contrôler la conception de ces bandeaux et, si besoin, de relancer une action contre Amazon.