• Vous prendrez bien quelques cookies, regardez comme ils sont bons !
• Non merci, ça ira, j'en ai déjà trop mangé.
• Mais si, allez, quelques-uns de plus, ça ne peut pas vous faire de mal. Vous ne pouvez quand même pas les refuser !

Cette insistance, Google et Facebook la paient (relativement) cher. La CNIL inflige aujourd'hui à Google une amende de 150 millions d'euros et à Facebook une amende de 60 millions en raison de leur gestion des cookies.

L'autorité française reproche aux deux géants de ne pas permettre aux internautes de refuser facilement le dépôt des cookies sur leurs appareils. « Plusieurs clics sont nécessaires pour refuser tous les cookies, contre un seul pour les accepter », note-t-elle. Or, elle considère que ce procédé porte atteinte à la liberté du consentement des internautes et constitue une violation de l’article 82 de la loi Informatique et Libertés.

Google et Facebook avaient été prévenus : après une période de sursis, la CNIL avait mis en demeure une vingtaine d'organisations en mai 2021, sans donner de noms, mais en précisant que des « acteurs internationaux de l’économie numérique » étaient concernés. Une partie de ces acteurs est rapidement rentrée dans le rang, mais pas Google ni Facebook.

La sanction concernant Google porte sur Google.fr ainsi que sur YouTube.com. Dans le détail, Google LLC, établie en Californie et développeur du moteur de recherche ainsi que de YouTube, écope d'une amende de 90 millions d'euros, tandis que Google Ireland Limited, qui est le siège européen de Google, est sanctionné à hauteur de 60 millions d'euros.

La CNIL justifie le montant de ces amendes, comme celle de 60 millions d'euros visant Facebook, par « le nombre de personnes concernées et par les bénéfices considérables que [les sociétés tirent] des revenus publicitaires indirectement générés à partir des données collectées par les cookies. » Les deux entreprises doivent se mettre en conformité — c'est-à-dire ajouter un bouton « Tout refuser » — dans un délai de trois mois, sans quoi elles risquent une astreinte de 100 000 € par jour de retard.

Mis au pied du mur, Google promet de réaliser des changements. « Les internautes nous font confiance afin de respecter leur droit à la vie privée et veiller à leur sécurité. Dans le respect de ces attentes, nous nous engageons à mettre en place de nouveaux changements, ainsi qu’à travailler activement avec la CNIL en réponse à sa décision, dans le cadre de la directive ePrivacy », déclare un porte-parole de Google. Le moteur de recherche planche sur l'abandon des cookies tiers au profit d'autres techniques pour la publicité ciblée, mais ce gros projet, dont certains pans sont critiqués en matière de concurrence ou de confidentialité, ne devrait pas aboutir avant 2023.

Ce n'est pas la première fois que Google est sanctionné pour sa gestion des cookies. Fin 2020, la CNIL avait déjà infligé une amende de 100 millions d'euros au moteur de recherche (ainsi que 35 millions d'euros à Amazon). Ce n'était pas l'absence de bouton « Tout refuser » qui était en cause, mais un dépôt de cookies sans le consentement préalable de l'internaute, ainsi que des manquements à l'obligation d'information.