« Entre mai 2021 et août 2022, 18 autorités de protection des données de l'Union européenne et de l'Espace économique européen (EEE), dont la CNIL, ont été saisies par l’association noyb de plusieurs centaines de plaintes relatives au design et aux caractéristiques de bannières cookies », explique la CNIL.

Ce pour quoi le Comité européen de la protection des données (CEPD) a créé un groupe de travail, piloté par la CNIL et l'autorité autrichienne, et rassemblant toutes les autorités de protection des données européennes volontaires, afin d'analyser collectivement les différentes questions soulevées par ces plaintes « à l’échelle européenne » :

« 13 réunions de travail ont eu lieu et ont permis d’aboutir à l’adoption d’un rapport présentant les conclusions des analyses effectuées. Les principaux points d’attention qui ont fait l’objet d’échanges portent sur les modalités d'acceptation et de refus au dépôt de cookies et le design des bannières. »

Son rapport « fait notamment état du fait que la grande majorité des autorités considère que l’absence de toute option de refus/rejet des cookies au même niveau que celle prévue pour en accepter le dépôt constitue un manquement à la législation ».

Les autorités ont conclu, s’agissant plus particulièrement du design des bannières, que « l’information délivrée doit permettre aux internautes de comprendre ce à quoi ils/elles consentent et comment exprimer leur choix ».

Pour autant, les autorités s’accordent à considérer qu’ « elles ne peuvent imposer à tous les sites web un standard en termes de couleur ou de contraste », et qu' « un examen au cas par cas de la bannière doit être effectué pour déterminer si le design choisi (ex. couleur/contraste) n’est pas manifestement trompeur pour les utilisateurs ».

Le rapport résumant les analyses et conclusions du groupe de travail est disponible sur le site du CEPD, et devrait « permettre aux autorités de finaliser l'instruction des plaintes dont elles ont été saisies ». 

L'ONG noyb, à l'origine de nombreuses plaintes contre Meta notamment, estime que la Commission irlandaise de protection des données (DPC) « a fermé les yeux sur les revenus générés par la violation du RGPD lors du calcul de son amende » de 390 millions d'euros, infligée à Meta début janvier.

• RGPD : 390 millions d'euros d'amende pour Meta

La DPC n'aurait en effet pas pris en compte un vote à la majorité des 2/3 de toutes les autorités de l'UE (le CEPD) ayant pourtant ordonné à la DPC de prendre en compte les milliards d'euros de revenus mal acquis de Meta. Ce qui aurait permis à l’entreprise d'économiser « près de 4 milliards d'euros ».

Le Comité européen de la protection des données avait demandé à la DPC de quantifier les revenus générés par Meta en enfreignant le RGPD, précisé que l'amende devait « contrebalancer les gains de l'infraction », et lui avait donc ordonné d' « infliger une amende supérieure à ce montant », explique noyb.

Or, la DPC a « simplement ignoré » les revenus illégaux réalisés par Meta en affirmant que « la Commission n'est pas en mesure d'établir une estimation des questions », et qu'elle était donc « incapable de prendre ces questions en compte ».

« Il est étonnant que cela n'ait pas été pris en compte par la DPC », s'étonne Max Schrems, le président de noyb. « La DPC n'a même pas utilisé ses pouvoirs statutaires pour demander ces informations à Meta. Nous avons donc fait des recherches publiques sur les informations disponibles et avons constaté que ce seul facteur aurait dû augmenter l'amende de 3,97 milliards d'euros. »

noyb, qui avait déjà annoncé qu'elle « pourrait devoir faire appel » de la décision de la DPC, a écrit au CEPD pour lui demander que sa décision soit pleinement confirmée par la DPC : 

« La DPC a fait don de 3,97 milliards d'euros à Meta. Il nous a fallu une heure et une feuille de calcul pour trouver ce résultat. Je suis sûr que les contribuables irlandais ne verraient pas d'inconvénient à avoir cet argent supplémentaire, si seulement un employé de la DPC avait juste ouvert un moteur de recherche et fait des recherches. »

Des centaines d'organismes chargés de l'application de la loi aux États-Unis ont accès, sans contrôle judiciaire, à une base de données de « plus de 150 millions de transferts d'argent entre des personnes aux États-Unis et dans plus de 20 pays », révèle le Wall Street Journal.

La base de données, hébergée par un discret organisme à but non lucratif intitulé Transaction Record Analysis Center, ou TRAC, a été créée par le bureau du procureur général de l'État de l'Arizona en 2014 dans le cadre d'un accord conclu avec Western Union pour lutter contre le trafic transfrontalier de drogue et de migrants venant du Mexique.

Il a depuis été élargi à plus de 600 autres organismes, du FBI à la Drug Enforcement Administration en passant par de nombreux services de police locaux afin de surveiller les flux monétaires entre les États-Unis et les pays du monde entier par l'intermédiaire d'entreprises telles que Western Union, MoneyGram, DolEx et Euronet via sa marque Ria.

Ces services, utilisés par des millions de personnes, en particulier celles qui n'ont pas de compte bancaire, pour transférer des fonds entre amis et famille, sont moins réglementées que les banques. TRAC, qui fournit les noms complets de l'expéditeur et du destinataire, ainsi que le montant de chaque transaction, aurait d'ores et déjà permis d'identifier des centaines de transactions criminelles.

Rich Lebel, le directeur de TRAC, précise que ne sont concernés que les transferts de plus de 500 $, afin de mettre de côté la grande majorité des transferts de fonds familiaux.