TikTok Irlande et TikTok UK ont reçu chacune une amende de 2,5 millions d'euros pour un manque d'information sur les cookies utilisés sur le site web du service et l'asymétrie de présentation entre la possibilité de les accepter et celle de les refuser. Cette sanction de la CNIL s'ajoute aux différents déboires actuels du réseau social en Europe.
Alors que le directeur général de la multinationale, Shou Zi Chew, est venu à Bruxelles en début de semaine pour calmer les inquiétudes européennes, la CNIL vient d'infliger à TikTok sa plus grosse amende en Europe.
La délibération [PDF] prise le 29 décembre dernier a été rendue publique jeudi. Celle-ci détaille les différents contrôles de la CNIL qui ont abouti à cette décision. La sanction n'est pas aussi élevée qu'elle aurait pu – la CNIL aurait pu aller jusqu'à 10 millions d'euros ou 2% du chiffre d’affaires annuel mondial total –, mais elle marque néanmoins un premier sérieux avertissement pour le réseau social le plus populaire chez les jeunes actuellement.
Elle n'est pourtant pas de la même hauteur que celles infligées récemment à Microsoft, Google et Facebook. L'autorité administrative rappelle à la fin de sa délibération que sa décision peut faire l’objet d’un recours devant le Conseil d’État jusqu'à fin avril.
Refus complexe de cookies « non essentiels »
La sanction de TikTok s'explique, notamment, car la CNIL a constaté que le bandeau relatif aux cookies de son site internet ne proposait pas « facilement et en un seul clic » à l'internaute une manière de refuser le dépôt de cookies non essentiels. La CNIL a compté qu'il fallait effectuer au moins trois actions (un premier clic sur « Gérer les paramètres », puis un clic sur « Ouvrir les paramètres de cookies » et un clic sur « Enregistrer ») pour le faire.
Ce n'est que le 28 février 2022 que TikTok a ajouté un bouton « Tout refuser » à son bandeau... ainsi qu'un message mal rédigé « Tu peux gestion des cookies à tout moment » qui a depuis été corrigé le 15 juillet 2022 suite à un nouveau contrôle de la CNIL.
TikTok a expliqué à l'autorité que son site « ne se basait pas sur un consentement implicite de ses utilisateurs pour l’utilisation de cookies non essentiels et qu’aucun cookie non essentiel n’était placé sur le terminal des utilisateurs avant qu’ils ne cliquent sur le bouton « Tout accepter » ». Mais la CNIL relève que cette information n'était pas donnée dans le bandeau relatif aux cookies et que le silence de l'utilisateur ne pouvait valoir de refus que s'il en était pleinement informé.
La CNIL considère que l'utilisateur « n’avait pas la possibilité de refuser les opérations de lecture et/ou d’écriture avec le même degré de simplicité qu’il avait de les accepter » ce qui contrevient, selon elle, au considérant 42 du RGPD qui prévoit que « le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d'une véritable liberté de choix ou n'est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ».
Trois cookies imposés par le site sans information préalable
Suite à ces contrôles, la CNIL a aussi constaté que le site web de TikTok déposait plusieurs cookies parmi lesquels ceux nommés « tt_webid », « tt_webid_v2 » et « ttwid ». Ils étaient présents dès l'arrivée sur le site, après navigation sans acceptation des cookies, après refus explicite des cookies et après retrait du consentement.
TikTok a expliqué à l'autorité qu'elle utilisait ces cookies à des fins de « sécurité et détection des fraudes (c'est-à-dire, identification des bots) », de « plafonnement de la fréquence de visionnage des vidéos les plus populaires sur la plateforme », de tests permettant de comparer deux versions d’une même page et d'anti-spam.
Cette dernière fonctionnalité a d'ailleurs fait l'objet d'une discussion entre l'entreprise et l'autorité puisque TikTok avait d'abord parlé de « plafonnement de la fréquence des publicités diffusées sur la plateforme ». La CNIL a donc réagi en classant ces cookies comme de la gestion de publicité comportementale, mais TikTok s'est corrigé, arguant « d’une erreur involontaire commise lors de la rédaction de la réponse, en raison d’une mauvaise communication interne ». Elle a finalement expliqué à l'autorité que cette fonctionnalité relevait plutôt de la lutte contre le spam.
La CNIL a, « en l’absence de doctrine stabilisée en l’état » sur certaines de ces fonctionnalités, préféré ne pas retenir de manquement en lien avec la nécessité de recueillir un consentement.
Contestations de TikTok
Si, selon la CNIL elle-même, l'entreprise a collaboré pendant les différents contrôles, TikTok a contesté devant l'autorité le montant des amendes les qualifiant de « disproportionnées et injustifiées au regard des circonstances de l’affaire et de la nature des manquements reprochés ». L'entreprise a même osé expliquer qu'un rappel à l’ordre suffirait.
L'entreprise a aussi plaidé pour que cette décision ne soit pas rendue publique. L'autorité en a décidé autrement « au regard de la gravité des manquements en cause, de la portée du traitement et du nombre de personnes concernées ». La CNIL insiste dans sa délibération sur le fait que 38 % des utilisateurs de TikTok ont entre 13 et 17 ans. Comme c’est très souvent le cas, cette délibération n’identifiera plus nommément les différentes sociétés du groupe à l’expiration d’un délai de deux ans à compter de sa publication.
Cette première décision est peut-être le début d'une longue liste de récrimination contre TikTok en Europe. En novembre dernier, Ursula von der Leyen a confirmé que plusieurs procédures visaient à s'assurer que TikTok respectait bien le RGPD.
Commentaires (13)
#1
Donc la question qui se pose est “Est-ce que la boîte qui envoie toutes vos données en Chine respecte le RGPD ?”
Mouais, ça va être difficile d’y répondre.
#2
Et quid des cookies “essentiels” donc non refusables, concernant, par exemple, la mesure d’audience (pistage déguisé si cette mesure passe par Google Analytics)
j’ai vu certains sites qui les ajoutaient dans les fonctionnalités obligatoires du site, à côté de cookies publicitaires refusables.
#2.1
De mon point de vue, si c’est uniquement pour de la mesure d’audience, dans ce cas la nécessité du traitement pour rendre le service n’est pas justifiée et c’est un abus.
Mais le mieux est de contacter le DPO pour qu’il explique la finalité. Et en cas de désaccord, le signaler à la CNIL en leur donnant la discussion faite avec le DPO.
Et le mieux aussi, c’est de supprimer les cookies à la fin de la session de navigation sur le site pour éviter d’être traqué par des cookies tiers.
#2.2
Merci de la réponse. En général, dans ce cas, les finalités publicitaires sont bien identifiées et il est possible de les refuser (les partenaires), mais dans les finalités essentielles (qu’il est impossible de refuser), il apparait parfois des mesures d’audience ou des termes proches.
#2.3
Dans tous les cas, le meilleur moyen pour avoir une réponse à la question est de contacter le DPO de l’organisme.
Et en cas de non réponse ou de réponse insatisfaisante, tu peux adresser la question à la CNIL (avec captures d’écrans, liens, échanges avec le DPO, tout ce qui permettre d’appuyer) qui pourra te dire si ça peut faire l’objet d’une plainte ou non.
J’ai récemment déposé une plainte auprès de la CNIL pour une entreprise dont un formulaire pour bénéficier d’un service lié à l’achat d’un produit ne distinguait pas acceptation de la politique de confidentialité + souscription à du démarchage (ce qui est interdit par le RGPD, les deux doivent être séparés). Et en parallèle à cela, les coordonnées du DPO étaient uniquement postales dans un autre pays. Ce qui démontre clairement la volonté qu’il ne soit pas dérangé par des questions (là où j’ai déjà échangé avec une dizaine de DPO par mail sans problèmes), car qui aura envie de payer un timbre violet pour un courrier qui risque de finir sans réponse, ou partiellement répondu, et qui ne permet pas d’ouvrir de discussion ?
J’ai donc dans un premier temps posé la question à la CNIL qui m’a confirmé que ça pouvait être l’objet d’un dépôt de plainte.
#3
Je ne comprends pas “« le consentement ne devrait pas être considéré comme ayant été donné librement si la personne concernée ne dispose pas d’une véritable liberté de choix ou n’est pas en mesure de refuser ou de retirer son consentement sans subir de préjudice ».”
Comment se fait-il que sur un site comme marmiton.org si l’on refuse les cookies nous perdons l’accès au site ?
#3.1
Les cookie walls ne sont à priori pas interdit en eux-même, mais peuvent l’être en fonction notamment de l’existence ou pas d’une alternative (Cookie walls : en l’absence de cadre strict, la CNIL fournit des critères d’évaluation).
#3.2
Merci je n’avais pas vu cet article.
#4
Cela dépend également de la configuration de l’outil d’analyse du trafic. Matomo par exemple peux être configurer de façon a ne pas avoir besoin de demander le consentement.
#4.1
Cette config est compatible avec le RGPD ?
#4.2
Ils disent que oui, et que c’est validé par la CNIL : Matomo exempt from tracking consent in France
(En désactivant le tracking, pas besoin de demander de permission de déposer un cookie, comme sur NXI)
#4.3
Merci !