La CNIL inflige une amende de 10 millions d’euros à Yahoo pour ne pas avoir respecté les refus des cookies

La CNIL a sanctionné la société Yahoo pour ne pas avoir respecté le choix des internautes en matière de cookies sur son site ainsi que sur sa messagerie. 27 plaintes avaient été déposées en ce sens par les utilisateurs.

En fin d’année dernière, la Commission nationale informatique et libertés (CNIL) a sanctionné la société Yahoo EMEA Limited, filiale de la société américaine Yahoo, qui édite les services du même nom tels que le moteur de recherche ou la messagerie électronique.

Plus de mail en cas de refus des cookies

La CNIL a été saisie de 27 plaintes qui dénonçaient l’absence de prise en compte du refus des cookies ainsi que des multiples obstacles rencontrés pour retirer le consentement au dépôt des cookies. La Commission a effectué des contrôles en octobre 2020 et en juin 2021, ce qui lui a permis de constater ces infractions.

L’administration a constaté que lorsqu’un internaute se rendait sur le site de Yahoo et qu’il ne consentait à aucun dépôt, une vingtaine de cookies publicitaires étaient tout de même déposés sur le terminal de l’internaute.

De plus, l’internaute était informé que s’il retirait les cookies de la messagerie Yahoo, il ne pourrait plus accéder aux services proposés et qu’il perdrait l’accès à sa messagerie. Ce qui est totalement illégal, surtout après l’utilisation dudit service.

La formation restreinte a rappelé que si le fait de lier l’utilisation d’un service à l’inscription de cookies non strictement nécessaires au service fourni n’est pas en soi illégal, c’est à la condition que le consentement soit libre. Cela implique que le refus du consentement ou son retrait n’entraînent pas de préjudice pour l’utilisateur. Or, dans ce cas, la société ne proposait pas une alternative aux utilisateurs souhaitant retirer leur consentement : la seule possibilité offerte à l’utilisateur était de renoncer à l’usage de sa messagerie électronique.

La formation restreinte a considéré que, dans ces conditions, le retrait du consentement ne pouvait pas s’exercer librement.

La formation restreinte a souligné qu’une adresse de messagerie électronique constituait pourtant un élément de la vie privée de son utilisateur, dans la mesure où elle lui permet d’échanger avec d’autres personnes, de développer son réseau et d’archiver des conversations personnelles ou professionnelles importantes. Ainsi, à mesure qu’il utilise son adresse de messagerie, l’utilisateur ne peut plus la remplacer par n’importe quel service similaire aussi facilement qu’il l’aurait fait initialement.

Décision de la CNIL

Sur la base de ces constatations, la formation restreinte de la CNIL a estimé que la société Yahoo EMEA Limited avait manqué à ses obligations prévues par l’article 82 de la loi Informatique et Libertés. Ce qui lui vaut donc une sanction de 10 millions d’euros.