Google și Amazon sancționate cu amendă de 135 milioane de euro pentru plasare de cookie-uri fără consimțământ
9 minute • Alexandra Cruceru • 17 decembrie 2020
Potrivit comunicatelor de presă ale CNIL – Autoritatea de supraveghere franceză, pe data de 7 Decembrie 2020, Google LLC, Google Ireland Limited și Amazon Europe Core au fost amendați, în principal, pentru plasarea de cookie-uri de advertising pe dispozitivul utilizatorilor ce accesau pagini google.fr respectiv amazon.fr, fără a avea consimțământul acestora.
Încălcări ale Informatique et Libertés – Google
În cazul Google, după investigația din Martie 2020, CNIL consideră că a încălcat nici mai mult nici mai puțin decât trei dispoziții ale art. 82 din Informatique et Libertés, care este actul normativ de transpunere a directivei ePrivacy în Franța, și anume prin:
Plasarea de cookie-uri înainte de a fi cerut consimțământul utilizatorului
Astfel, conform investigațiilor CNIL, când un utilizator naviga pe paginile google.fr, o serie de cookie-uri cu scopuri de advertising erau automat plasate pe computerul acestuia, înainte de a fi cerut consimțământul său.
O astfel de abordare constituie o încălcare flagrantă a Informatique et Libertés care stabilește obligația de a obține consimțământul utilizatorului înainte ca un asemenea tip de cookie să fie atașat dispozitivului acestuia. Pentru că un cookie de publicitate nu se încadrează sub nicio formă în categoriile exceptate de la obligația consimțământului!
Despre categoriile de cookie-uri exceptate de la obligația obținerii consimțământului, CNIL s-a pronunțat în cel mai recent Ghid al său privind cookie-urile. Poți citi mai multe despre asta aici.
Lipsa de informare a utilizatorului privind plasarea de cookie-uri
CNIL mai afirmă că accesând o pagină a motorului de căutare google.fr utilizatorul era întâmpinat de un banner situat în josul paginii care informa despre politica de privacy a Google și care conținea două butoane „Reamintește-mi mai târziu” și „Consultă acum”. Doar că la o consultare amănunțită, această politică de privacy nu părea să conțină nicio informație despre folosirea de cookie-uri.
Această lipsă de informații contravine dispozițiilor Informatique et Libertés care stabilesc obligația de informare în mod clar a utilizatorului despre plasarea de cookie-uri, despre scopurile acestor cookie-uri precum și despre posibilitățile utilizatorului de a refuza folosirea lor.
Nerespectarea parțială a dreptului utilizatorului de a se opune prelucrării datelor sale prin cookie-uri
Cea de-a treia încălcare a Informatique et Libertés reținută de CNIL este aceea că la opțiunea utilizatorului de a dezactiva personalizarea ad-urilor sugerate de Google, cel puțin unul dintre cookie-urile de marketing rămânea în continuare atașat dispozitivului. CNIL afirmă că acest cookie continua să colecteze informații în scopuri publicitare, după opoziția expresă a userului. Pretty bad!
Conținutul deciziei CNIL împotriva Google îl poți consulta aici.
Încălcări ale Informatique et Libertés – Amazon
În cazul Amazon, după o serie de investigații desfășurate în perioada Decembrie 2019 – Mai 2020, CNIL consideră că a încălcat două dintre dispozițiile art. 82 al Informatique et Libertés, și anume prin:
Plasarea de cookie-uri înainte de a fi cerut consimțământul utilizatorului
CNIL a depistat cookie-uri de advertising instalate printr-un simplu click al useului pe ad-uri Amazon ce erau plasate pe pagini ale unor site-uri partenere, fără să ofere userului vreo oportunitate de a consimți sau a refuza. Același mecanism funcționa și la vizita directă a utilizatorului pe site-ul Amazon.
Lipsa de informare a utilizatorului privind plasarea de cookie-uri
Deși Amazon a susținut că majoritatea utilizatorilor care dădeau click pe reclame din site-uri third party, consultaseră în prealabil politica de cookie-uri de pe site-ul oficial Amazon, CNIL a demontat această apărare șubredă.
La fel s-a întâmplat și cu argumentul Adchoices icon. Amazon a afirmat că orice user avea opțiunea de a consulta politica cookie printr-un click pe colțul ad-urilor unde se afla un Adchoices icon.
Adchoices icon este un simbol mic (în formă de vârf de săgeată) aflat în colțul reclamelor de pe site-uri care, la un click, îți oferă opțiuni și informații despre reclama respectivă ca: „Nu mai afișa anunțul”, „De ce se afișează acest anunț?” etc.
Argumentul a fost înlăturat de CNIL pentru că e contraintuitiv să consideri că un utilizator va accesa acel mic icon din colțul unei reclame înainte de a accesa reclama în sine, mai ales că nu are de unde să ghicească ce informații prețioase despre cookie-uri se află acolo.
Conținutul Deciziei CNIL împotriva Amazon îl poți consulta aici.
Sancțiunea pronunțată
Amenda
În cazul Google, sancțiunea impusă de CNIL este defalcată în 60 de milioane de euro pentru Google LLC și 40 de milioane de euro pentru Google Ireland Limited.
Google LLC este compania care a elaborat motorul de căutare Google Search, având sediul în California, iar la Google Ireland Limited din Irlanda este sediul principal al grupului Google în Europa. Aceștia sunt considerați de CNIL operatori asociați întrucât determină împreună scopurile și mijloacele de prelucrare ale datelor personale prin intermediul cookie-urilor.
Pentru stabilirea cuantumului amenzii autoritatea franceză afirmă că a avut în vedere seriozitatea încălcării dispozițiilor legale și aspectul că practicile motorului de căutare sunt în măsură să impacteze aproximativ 50 de milioane de utilizatori, precum și profitul derivat din advertising în urma folosirii datelor colectate de cookie-urile cu pricina.
Amenda Amazon se ridică la suma de 35 de milioane de euro, avându-se în vedere, la fel, seriozitatea încălcării dispozițiilor legale, impactul asupra milioanelor de utilizatori ai platformei de e-commerce și profitul derivat din creșterea vizibilității produselor retailerului.
Obligația de a informa corespunzător utilizatorul despre plasarea de cookie-uri
În urma verificărilor ulterioare, CNIL a constatat că în prezent nu mai există mecanisme de implementare automată a cookie-urilor pe niciunul dintre site-urile Google sau Amazon. Acestea țin acum cont de consimțământul userilor.
Totuși, Autoritatea afirmă că, în ambele cazuri, banner-ul de informare a utilizatorului privind cookie-urile este în continuare deficitar întrucât nu exprimă pe deplin posibilitatea userului de a refuza aceste cookie-uri de advertising.
În consecință, pe lângă sancțiunea amenzii, CNIL obligă Google și Amazon la informarea corespunzătoare a utilizatorului privind plasarea de cookie-uri, în termen de maxim 3 luni de la notificare. La expirarea acestei perioade de grație, dacă se va constata neconformitatea, Google și Amazon vor primi din nou amenzi în valoare de 100.000 de euro pe zi, fiecare.
Competența CNIL
În ceea ce privește competența, CNIL afirmă că este competentă material să controleze și să sancționeze cookie-urile plasate de Google și Amazon pe dispozitivele userilor aflați în Franța. Autoritatea a subliniat că nu se aplică mecanismul de cooperare prevăzut de GDPR – acel mecanism al ghișeului unic – întrucât prevederile despre cookie-uri sunt conținute de directiva ePrivacy, transpusă în legislația națională prin actul Informatique et Libertés. Directiva ePrivacy este o lege specială, reglementează în mod unic cookie-urile, și are prioritate în aplicare față de GDPR.
În același timp, este competentă teritorial potrivit art. 3 din Informatique et Libertés pentru că aceste cookie-uri au fost folosite „în cadrul activităților” companiilor Google France și Amazon France ce reprezintă „sediile” Google LLC, Google Ireland Limited și Amazon Europe Core pe teritoriul francez, întrucât asigură promovarea produselor și serviciilor acestora.
Google, în schimb, susține că autoritatea franceză nesocotește prevederile GDPR și contribuie la fragmentarea legislației comunitare.
Și asta e cu adevărat interesant, pentru că într-adevăr mecanismul ghișeului unic (one-stop shop) ar presupune ca autoritatea competentă în acest caz să fie Data Protection Commissioner (autoritatea de supraveghere din Irlanda). Asta pentru că, potrivit GDPR, în cazul prelucrării transfrontaliere de date, există o singură autoritate principală competentă și anume cea unde se află sediul principal al companiei care încalcă regulile. În cazul nostru, în Europa Google are sediul principal în Irlanda.
Amazon contestă de asemenea competența CNIL afirmând că în absența unor dispoziții speciale din directiva ePrivacy, singura reglementare aplicabilă în materie de competență în cazul prelucrării transfrontaliere este GDPR. Și conform mecanismului de cooperare GDPR, competența îi revine autorității de supraveghere din Luxemburg (CNPD), unde se afla sediul principal Amazon în Europa.
Amenda nu are la bază ultimul Ghid despre cookie-uri
Una dintre cele mai citate reacții ale Google este aceea în care afirmă efortul său susținut în fața nenumăratelor schimbări de abordare ale autorității franceze. Google se referă probabil la Ghidul privind cookie-urile care a fost contestat în fața Consiliului de Stat francez și care a fost modificat ulterior de autoritate. Și asta datorită încercării CNIL de a interzice cookie walls.
Tocmai de aceea CNIL relatează răspicat că Google și Amazon au fost sancționați pentru că au încălcat reglementări anterioare ultimei versiuni a Ghidului privind cookie-urile, care nu are incidență în cauză. Pentru această ultimă versiune publicată la 1 Octombrie 2020 există un termen de grație de 6 luni, timp în care operatorii trebuie să se conformeze noilor modificări.
Trebuie menționat că și deciziile împotriva Google și Amazon cu privire la cookie-uri pot fi contestate de aceștia în fața Consiliului de Stat francez, așa că cei care încă mai speră vor mai avea de așteptat o vreme deznodământul poveștii.
Ce ar fi de reținut?
Dincolo de particularitățile situației, aspectele care ar fi imperativ de reținut sunt următoarele:
- Pentru orice site care folosește cu voie sau fără voie cookie-uri de advertising sau orice alt fel de cookie-uri neesențiale, consimțământul utilizatorului e sfânt!
- Orice fel de cookie-uri ar folosi un site (chiar și cookie-uri esențiale) trebuie să informeze utilizatorul despre acestea într-un mod cât de poate de clar.
- Utilizatorul trebuie să aibă posibilitatea de a refuza plasarea de cookie-uri neesențiale pe dispozitivul său.
Despre consimțământ și categorii de cookie-uri poți citi mai multe aici.
Așadar, fără căsuțe pre-bifate! Fără trimiteri vagi la politici care mai de care mai criptice! Fără cookie-uri de advertising deghizate în inocente cookie-uri strict necesare! Fără griji!
Poză de Markus Winkler pe Unsplash
