En ce début janvier, la CNIL affiche la sanction qu'elle a prise envers Yahoo! en fin d'année dernière : 10 millions d'euros. Cette amende, l'autorité la justifie dans une délibération datée du 29 décembre 2023 concernant la gestion des cookies sur plusieurs sites de la multinationale entre 2019 et 2021.

La Commission explique avoir reçu 27 plaintes entre juin 2019 et octobre 2020, « dénonçant notamment le dépôt de cookies sur leur terminal avant toute action, la non-prise en compte de leur refus au dépôt de ces cookies ainsi que sur les modalités de refus de ces derniers à partir du domaine " yahoo.com " et du service de messagerie " Yahoo mail " ».

20 cookies déposés sans consentement

Suite à ces plaintes, la CNIL a effectué un contrôle en ligne le 7 octobre 2020 suivant deux scénarios. Elle a « constaté le dépôt d’au moins 20 cookies » poursuivant une finalité publicitaire lorsqu'elle s'est rendu sur le site yahoo.com « alors que la délégation n’avait effectué aucune action pour donner son consentement à l’inscription de ces cookies ».

L'autorité n'évoque pas le RGPD puisque celui-ci était entré en application un peu avant ce contrôle et qu'elle avait accordé, en septembre 2020, un délai de mise en conformité aux nouvelles règles. Mais, selon la CNIL, ce dépôt est de toute façon contraire à l’article 82 de la loi Informatique et Libertés qui « exige un consentement aux opérations de lecture et d’écriture d’informations dans le terminal d’un utilisateur » avec une exemption dont ne font pas partie les cookies à finalité publicitaire.

Yahoo! a fait part à la CNIL que les cookies déposés l'étaient par des entreprises tierces, mais l'autorité rappelle dans sa délibération que le Conseil d'État considère que c'est bien à l'éditeur du site de s'assurer que ses partenaires ne déposent pas de cookies sans le consentement de l'utilisateur.

Jouer sur la peur de perdre l'accès au service

Mais, lors de son contrôle, l'autorité a remarqué que Yahoo! ne faisait pas que déposer des cookies sans le consentement de l'utilisateur.

Lors d'un deuxième contrôle, effectué le 10 juin 2021, la CNIL a pu constater que, lors de la révocation du consentement général de l'utilisateur à partir de la page intitulée " Tableau de bord sur la vie privée et contrôles (visiteurs) ", « il apparait qu’avant que l’intéressé n’achève la procédure visant à retirer son consentement, une page surgissait suivie de la mention " Êtes-vous sûr ? Vous ne pourrez plus accéder à YAHOO ni aux autres produits Verizon Media " ».

Puis Yahoo! affichait un texte précisant « si vous révoquez votre consentement général, vous perdez l’accès à tous les produits Verizon Média, notamment le contenu de votre messagerie [...] ». Un chantage au consentement que la CNIL n'accepte pas.

Elle note que « ce n’est qu’à l’occasion du parcours dédié au retrait du consentement que la société porte à la connaissance de l’utilisateur le fait que l’utilisation de ses services est conditionnée à l’acceptation de certains cookies et quelles sont les conséquences d’un retrait du consentement ».

L'autorité « observe que si le fait de lier l’utilisation d’un service à l’inscription de cookies non strictement nécessaires au service fourni, pratique qui est assimilable à un cookie wall, n’est pas en soi illégale, c’est à la condition que le consentement soit libre, ce qui implique que tant le refus du consentement que son retrait n’entrainent pas de préjudice pour l’utilisateur ». Elle relève aussi que l'absence d'alternative proposée par Yahoo! « affecte nécessairement le caractère libre du consentement ».

Elle considère que ces messages peuvent constituer « un obstacle sérieux pour l’utilisateur qui, pour retirer son consentement, doit notamment être prêt à renoncer à l’usage de son adresse électronique ».

10 millions d’euros d’amende et une décision publique

La CNIL justifie le montant de 10 millions d'euros de l'amende en expliquant que le dépôt de cookies sans le consentement de l'utilisateur est « une atteinte grave au droit pour les usagers de ses services de conserver la maîtrise de leurs données » et elle souligne la « particulière gravité » du manquement concernant la liberté de consentir.

Elle souligne aussi « le nombre important de personnes concernées, au nombre d’environ 5 millions de visiteurs uniques du domaine " yahoo.com " entre 2019 et 2020 ».

La CNIL a aussi décidé de « rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans à compter de sa publication ».

Comme d'habitude en pareille décision de la CNIL, Yahoo! peut faire un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.