Manquements aux règles sur les cookies : TikTok sanctionné à hauteur de 5 M€ par la CNIL

La Commission nationale de l'informatique et des libertés (CNIL) a, le 29 décembre dernier, sanctionné le réseau social TikTok pour un montant total de 5 M€ et pour deux raisons : 1°) les utilisateurs de « tiktok.com » ne pouvaient pas refuser les cookies aussi facilement que les accepter ; 2°) ils n'étaient pas informés de façon suffisamment précise des objectifs des différents cookies.

Cette amende a été prononcée après que, entre mai 2020 et juin 2022, la Commission a effectué plusieurs missions de contrôle en ligne sur le site web « tiktok.com » et sur pièces, c'est-à-dire sur la base de documents demandés à la société par le régulateur des données personnelles ; des contrôles qui ont uniquement porté sur le site web de TikTok, dans un espace non authentifié, et non sur l'application mobile.

Sur la base des constatations effectuées, la formation restreinte – organe de la CNIL chargé de prononcer les sanctions – a considéré que les sociétés Tiktok Information Technologies Uk Limited (Tiktok Royaume-Uni) et TikTok Technology Ltd (TikTok Irlande) avaient manqué aux obligations prévues par l'article 82 de la loi « Informatique et Libertés ».

Précisément, lors d'un contrôle effectué en juin 2021, la Cnil a constaté que si les sociétés Tiktok Royaume-Uni et TikTok Irlande proposaient bien un bouton permettant d'accepter immédiatement les cookies, elles ne mettaient pas en place de solution équivalente (bouton ou autre) pour permettre à l'internaute de refuser aussi facilement leur dépôt. Dans les faits, plusieurs clics étaient nécessaires pour refuser tous les cookies, contre un seul pour les accepter. La formation restreinte a considéré que rendre le mécanisme de refus plus complexe revient en réalité à décourager les utilisateurs de refuser les cookies et à les inciter à privilégier la facilité du bouton « Tout accepter ». Elle en a conclu que ce procédé portait atteinte à la liberté du consentement des internautes et constituait une violation de l'article 82 de la loi « Informatique et Libertés » puisqu'il n'était pas aussi simple de refuser les cookies que de les accepter au moment du contrôle en ligne de juin 2021 et jusqu'à la mise en place d'un bouton « Tout refuser » en février 2022.

De plus, les utilisateurs n'étaient pas informés de façon suffisamment précise des finalités (objectifs) des cookies tant sur le bandeau d'informations au premier niveau que dans le cadre de l'interface de choix accessible après avoir cliqué sur un lien présent dans la bannière.

Concluant à plusieurs manquements à l'article 82 de la loi « Informatique et Libertés », la formation restreinte a prononcé à l'encontre de TikTok une amende de 5 M€, un montant décidé à l'aune des manquements retenus, du nombre de personnes concernées – notamment des mineurs - et des nombreuses communications antérieures de la CNIL sur le fait qu'il doit être aussi simple de refuser les cookies que de les accepter.

• Pour consulter sa délibération, cliquez ici.