Les deux groupes ont écopé des deux sanctions les plus importantes jamais prononcées par la Cnil - à l'exception d'une amende de 150 millions visant Google en 2022, déjà au sujet des cookies.
Google, également sanctionné pour des manquements en matière de publicité, s'est vu infliger une amende de 325 millions d'euros. Le groupe Shein devra s'acquitter d'un paiement de 150 millions d'euros.
Les cookies sont ces traceurs, essentiels au secteur de la publicité en ligne et intégrés aux plateformes pour traquer ce que vous regardez, aimez et vous proposer un voyage en Asie, ou le dernier pantalon à la mode.
En d’autres termes, ces dispositifs suivent l'activité en ligne des internautes pour effectuer du ciblage publicitaire. Mais selon la Cnil, les deux entreprises ont manqué à leurs obligations de recueillir le consentement libre et éclairé des internautes avant de collecter les cookies publicitaires.
Le géant asiatique du prêt-à-porter discount a annoncé à l'AFP qu'il allait former un recours devant le Conseil d'État et la Cour de justice de l'Union européenne, jugeant l'amende "totalement disproportionnée compte tenu de la nature des griefs allégués" et de sa "conformité actuelle" à la législation, une sévérité qu'il impute à "des considérations politiques".
"Nous étudions le contenu de la décision", a réagi de son côté un porte-parole de Google, soutenant que "les utilisateurs ont toujours eu la possibilité de contrôler les annonces qu'ils voient dans nos produits" et que des mises à jour ont été effectuées "afin de répondre aux préoccupations de la Cnil".
Le consentement au cœur du débat
Les deux entreprises ont manqué à leurs obligations de recueillir le consentement libre et éclairé des internautes avant de collecter les cookies publicitaires. Car ces dispositifs, qui suivent l'activité en ligne des internautes pour effectuer du ciblage publicitaire, sont strictement encadrés par la loi.
Les deux amendes annoncées mercredi s'inscrivent "dans la stratégie globale de mise en conformité initiée par la Cnil depuis plus de 5 ans en matière de traceurs, qui vise notamment les acteurs des sites et services à forte fréquentation", a souligné la Commission nationale de l’informatique et des libertés (Cnil).
Dans le cas de Shein, l'autorité pointe le "caractère massif" des données concernées, avec 12 millions d'utilisateurs mensuels du site en France. Shein s'est néanmoins mis en conformité avec les exigences de la Cnil depuis les contrôles.
Troisième amende en France pour Google
C’est la troisième fois que Google est visé par une sanction de la Cnil en matière de cookies. Dans l'un de ses communiqués publiés mercredi, l'autorité souligne la "négligence" du groupe, frappé en 2020 par une amende de 100 millions d'euros, puis en 2021 par une nouvelle contravention de 150 millions d'euros.
Le montant de la nouvelle sanction décidée contre le géant américain est, selon la Cnil, justifié par le nombre d'utilisateurs concernés, et la pluralité des manquements.
En parallèle, Google est aussi visé pour avoir inséré des bannières publicitaires entre les courriers de sa messagerie Gmail pour certains utilisateurs qui ont opté pour les "fonctionnalités intelligentes". La pratique a touché 53 millions de Français, précise la Cnil.
Ces publicités, qui "constituent de la prospection directe" selon une jurisprudence européenne, auraient dû faire l'objet d'un consentement préalable des utilisateurs, ce qui n'a pas été le cas.
L'amende infligée a été associée à une injonction de faire cesser les manquements dans un délai de six mois. Au-delà, Google et sa filiale irlandaise devront chacune s'acquitter de pénalités de 100.000 euros par jour.
Shein et Google disposent d'un délai de quatre mois pour faire appel de la décision de sanction devant la justice administrative.
Google, aussi condamné aux États-Unis
Google a été condamné, mercredi, aux Etats-Unis à verser 425,7 millions de dollars de dommages à près de 100 millions d'utilisateurs pour atteinte à leur vie privée, selon la décision d'un jury d'une cour fédérale de San Francisco confirmée par le géant américain. L'affaire découle d'un recours collectif déposé en juillet 2020 et concerne à nouveau ces fameux cookies.
Le géant du web a été reconnu coupable d'atteinte à la vie privée selon la loi californienne, pour avoir continué à collecter les données privées de ces utilisateurs alors même qu'ils avaient désactivé ce paramètre.
"Les promesses et garanties de Google en matière de confidentialité sont des mensonges éhontés", ont déclaré les avocats des plaignants lors du procès.
Le géant de la Silicon Valley s'efforce aujourd’hui de remplacer les cookies par un mécanisme moins intrusif mais tout aussi efficace.
La décision rendue à San Francisco intervient au lendemain de celle d'un juge fédéral à Washington qui a donné gain de cause à Google en rejetant la demande du gouvernement américain de voir le groupe contraint de vendre son navigateur web Chrome dans une affaire antimonopole.
