À la suite d’un contrôle en ligne effectué le 16 mars 2020 par la CNIL, les inspecteurs avaient pu constater que lorsqu’un utilisateur se rendait sur la page google.fr, sept cookies étaient automatiquement déposés sur son terminal sans action de sa part, dès son arrivée sur le site et sans qu’aucune information ne lui soit délivrée concernant le dépôt et l’utilisation de ces cookies.

Les « améliorations » effectuées par Google, à compter du 10 septembre 2020 au cours de l’instruction du dossier, étant jugées insuffisantes dans la mesure où elles « n’informaient pas directement et explicitement l’utilisateur sur les finalités des cookies et les moyens de s’y opposer », la CNILCNIL, 7 déc. 2020, SAN-2020-012, Google LLC et Google Ireland Ltd. a condamné les sociétés Google LLC et Google Ireland à payer 60 millions d’euros et 40 millions d’euros respectivement pour notamment ne pas avoir, en méconnaissance de l’article 82 de la loi informatique et libertés qui a transposé la directive européenne ePrivacy de 2002, « respecté son obligation de recueillir le consentement des utilisateurs avant tout dépôt de cookies ou autres traceurs ».

Déniant la compétence de l’autorité nationale française en la matière et se plaignant de la méconnaissance des droits de la défense et des exigences de la contradiction, le mastodonte américain entendait bien faire annuler cette sanction pécuniaire par le Conseil d’État sur la forme qu’elle critiquait ou, le cas échéant, sur le fond pour son caractère prétendument « disproportionné ».

Le Conseil d’ÉtatCE, 10 ^{et 9e ch. réunies, 28 janv. 2022, Google LLC et Google Ireland Ltd.} confirme la compétence de la CNIL pour intervenir en la matière et valide les constats par elle faits, à savoir : une absence d’information claire et complète des utilisateurs, un défaut de recueil préalable de leur consentement et un mécanisme défaillant d’opposition aux cookies publicitaires. Le contrôle effectué par la CNIL au mois de mars 2020 avait en effet établi que sept cookies étaient automatiquement et systématiquement installés sur les ordinateurs des utilisateurs dès leur arrivée sur le site, dont quatre avaient une finalité exclusivement publicitaire. Durant la procédure de contrôle effectuée, Google avait certes modifié ses pratiques au mois d’août 2020 mais il avait continué à ne pas vouloir informer directement et explicitement l’utilisateur sur les finalités de ses cookies et les moyens de s’y opposer.

Quant à la régularité de la procédure de sanction, il est relevé que le moteur de recherche a eu l'occasion de produire, le 30 avril 2020, une réponse au contrôle effectué le 16 mars 2020, avant son audition dans les locaux de la CNIL, le 22 juillet 2020, audition à l'issue de laquelle les deux entités Google ont adressé, le 29 juillet 2020 des éléments complémentaires et après notification du rapport le 12 août 2020, elles ont produit des observations écrites le 25 septembre 2020 et des observations complémentaires le 26 octobre 2020 en réponse à celles du rapporteur du 9 octobre 2020, outre des observations orales lors de la séance du 2 décembre 2020 et encore des observations écrites après celle-ci. Les droits de la défense et le principe du contradictoire a parfaitement été respecté, est-il ainsi jugé.

Et s’agissant de la sanction pécuniaire, la haute juridiction administrative observe que le montant des deux amendes infligées par la CNIL n’excède pas la limite fixée par la loi informatique et libertés et elles ne sont pas « disproportionnées » compte tenu « des bénéfices importants produits par les données collectées au moyen de cookies publicitaires » mais aussi de la position dominante de Google en France, dont la part de marché est supérieure à 90 pour cent, qui représente environ 47 millions d’utilisateurs. La sanction est donc à présent définitive et Google doit passer à la caisse.