Cookies : le Conseil d'État valide la sanction de 35 M€ prononcée en 2020 par la CNIL contre Amazon

Le 7 décembre 2020, la CNIL prononçait une amende d'un montant de 35 M€ à l'encontre de la société Amazon Europe Core, notamment pour avoir déposé des cookies publicitaires sur les ordinateurs d'utilisateurs du site de vente « Amazon.fr » sans consentement préalable ni information satisfaisante. Le Conseil d'État a validé cette sanction, le 27 juin 2022.

Sur la compétence de la CNIL. - Dans la lignée de sa décision du 28 janvier 2022 rendue dans le cadre de la sanction contre Google, la plus Haute Juridiction administrative confirme la compétence de la CNIL à prendre des sanctions sur les cookies en dehors du mécanisme de guichet unique prévu par le RGPD. Il rappelle que la Commission est compétente pour sanctionner les manquements à l'article 82 de la loi « Informatique et Libertés », même dans le cas où le responsable de traitement n'est pas en établi en France, mais qu'il dispose sur le territoire français d'un établissement impliqué dans les activités liées au traitement effectué, ici la promotion et la commercialisation d'outils publicitaires par la société Amazon Online France.

Sur le fond. - le Conseil d'État confirme les deux violations à l'article 82 de la loi « Informatique et Libertés » sanctionnées par la CNIL : le dépôt de cookies sans consentement préalable et l'information défaillante des utilisateurs.

Sur la proportionnalité de la sanction. - Enfin, il estime que le montant de l'amende prononcé par la CNIL n'est pas disproportionné au regard de la gravité des manquements, de la portée des traitements et de la capacité financière de la société.