Amendes pour infractions liées aux cookies : ce que risquent réellement les entreprises
Les infractions à l'obligation de consentement aux cookies ne constituent pas un risque théorique — les autorités de protection des données de plusieurs pays de l'UE ont, ces dernières années, prononcé à plusieurs reprises des amendes d'un montant considérable. Le cadre juridique en découle de l'article 83, paragraphe 5, du RGPD : en cas d'infraction grave, des amendes allant jusqu'à 20 millions d'euros ou jusqu'à 4 % du chiffre d'affaires mondial annuel, le montant le plus élevé étant retenu, sont possibles — même si le déclencheur proprement dit, comme décrit dans les articles précédents, relève formellement de la directive ePrivacy ou de sa transposition nationale.
L'un des exemples les plus connus vient de l'autorité française de protection des données, la CNIL : en décembre 2020, elle a infligé à Google des amendes totalisant 100 millions d'euros et à Amazon une amende de 35 millions d'euros, les deux entreprises ayant déposé des cookies publicitaires avant que les utilisateurs n'aient donné leur consentement. En janvier 2022, une nouvelle amende de 150 millions d'euros a suivi contre Google, ainsi qu'une amende de 60 millions d'euros contre Facebook (aujourd'hui Meta) — cette fois parce que le refus des cookies sur leurs sites respectifs était rendu nettement plus laborieux que leur acceptation : accepter ne demandait qu'un clic, tandis que refuser exigeait de naviguer à travers plusieurs menus. La CNIL a jugé qu'il s'agissait là d'une violation de l'exigence selon laquelle le consentement doit être aussi facile à refuser qu'à donner.
D'autres autorités de protection des données sont également intervenues, généralement avec des montants moindres, à l'encontre de petites et moyennes entreprises : absence de catégorisation des cookies, scripts tiers se chargeant déjà avant toute interaction avec le bandeau, ou bouton « Refuser » tout simplement inexistant, contraignant les visiteurs à accepter faute d'alternative réelle. Ce dernier point en particulier — un bandeau sans option de refus d'un poids équivalent — figure parmi les manquements les plus fréquemment relevés lors des contrôles, car il contredit directement l'exigence d'une décision libre confirmée par l'arrêt Planet49.
Ce que les autorités de protection des données cherchent concrètement à vérifier lors d'un contrôle peut se déduire de ces affaires et des lignes directrices publiées par les autorités de contrôle : les cookies non essentiels n'ont-ils été déposés qu'APRÈS un consentement actif, et non avant ? Existait-il une possibilité de refus réelle et présentée à égalité ? Les catégories et finalités étaient-elles décrites de façon suffisamment concrète ? Et — souvent le point décisif dans un litige concret — l'exploitant du site peut-il encore prouver, après coup, qu'un consentement donné l'a bien été à un moment précis ?
Ce dernier point est fréquemment sous-estimé en pratique. Un bandeau techniquement irréprochable ne sert pas à grand-chose si, en cas de litige — à la suite d'une plainte ou d'un contrôle ponctuel, par exemple — plus aucune preuve ne subsiste montrant que le consentement a été donné, et comment exactement. L'obligation de responsabilité de l'article 5, paragraphe 2, du RGPD incombe à l'exploitant du site, et non au visiteur : en cas de doute, c'est à lui de le prouver, et non à l'utilisateur de démontrer le contraire.
Pour la plupart des sites de petite et moyenne taille, des amendes de l'ampleur des cas cités ici sont improbables — en pratique, les autorités de contrôle se concentrent sur les cas à forte audience, les infractions répétées ou les plaintes ciblées. Cela ne change toutefois rien au principe sous-jacent : un consentement informé, actif et consigné n'est pas une simple formalité — c'est la seule base sur laquelle un bandeau de cookies remplit effectivement sa fonction.