Cookies: penalizaciones económicas de 60 millones de euros contra la empresa GOOGLE LLC y de 40 millones de euros contra la empresa GOOGLE IRELAND LIMITED
El 7 de diciembre de 2020, el comité restringido de la CNIL, encargado de imponer las sanciones, impuso a las empresas GOOGLE LLC y GOOGLE IRELAND LIMITED una multa total de 100 millones de euros por haber colocado cookies de publicidad en los ordenadores de los usuarios del motor de búsqueda google.fr, sin obtener el consentimiento previo y sin proporcionar la información adecuada.
El 16 de marzo de 2020, la CNIL realizó una investigación en línea en el sitio web google.fr y descubrió que cuando un usuario visitaba este sitio web, las cookies se colocaban automáticamente en su ordenador, sin que fuera necesaria ninguna acción por su parte. Varias de estas cookies se utilizaron con fines publicitarios.
Infracciones de la Ley de Protección de Datos francesa
El comité restringido de la CNIL, encargado de imponer sanciones, observó tres infracciones del artículo 82 de la ley francesa de protección de datos:
Depósito de cookies sin obtener el consentimiento previo del usuario
Cuando un usuario visitó el sitio web google.fr, se colocaron automáticamente en su ordenador varias cookies utilizadas con fines publicitarios, sin que fuera necesaria ninguna acción por su parte.
Dado que este tipo de cookies sólo pueden colocarse después de que el usuario haya expresado su consentimiento, el comité restringido consideró que las empresas no habían cumplido con la exigencia prevista en el artículo 82 de la Ley de protección de datos francesa relativa a la obtención de un consentimiento previo antes de colocar cookies que no son esenciales para el servicio.
Falta de información proporcionada a los usuarios del motor de búsqueda google.fr
Cuando un usuario visitaba la página google.fr, aparecía un banner informativo en la parte inferior de la página, con la siguiente nota “Recordatorio de privacidad de Google”, delante del cual había dos botones: “Recordarme más tarde” y “Acceder ahora”.
Este banner no proporcionaba al usuario ninguna información sobre las cookies que, sin embargo, ya se habían colocado en su ordenador al llegar al sitio. Tampoco se proporcionaba la información cuando el usuario hacía clic en el botón “Acceso ahora”.
Por lo tanto, el comité restringido consideró que la información facilitada por las empresas no permitía a los usuarios residentes en Francia ni informarse previamente y de forma clara sobre el depósito de cookies en su ordenador ni, por lo tanto, informarse de los fines de esas cookies y de los medios disponibles que permiten rechazarlas.
Administrador para consentimiento de cookies | Pruébalo gratis durante 2 semanas
Evalúa gratis nuestros planes de pago durante 2 semanas o crea una cuenta gratuita …
Fallo parcial del mecanismo de “oposición”.
Cuando un usuario desactivaba la personalización del anuncio en la búsqueda de Google utilizando el mecanismo disponible del botón “Acceder ahora”, una de las cookies de publicidad seguía almacenada en su ordenador y seguía leyendo información dirigida al servidor al que está conectada.
Por consiguiente, el comité restringido consideró que el mecanismo de “oposición” establecido por las empresas era parcialmente defectuoso, lo que infringía el artículo 82 de la Ley de protección de datos de Francia.
La sanción impuesta por el comité restringido
El comité restringido impuso una sanción financiera de 60 millones de euros a GOOGLE LLC y otra de 40 millones de euros a GOOGLE IRELAND LIMITED y decidió hacerlas públicas.
El comité restringido justificó estas cantidades teniendo en cuenta la gravedad de la violación del artículo 82 de la Ley de Protección de Datos francesa, que se ha observado en relación con tres aspectos.
Destacó también el alcance del motor de búsqueda Google Search en Francia y el hecho de que las prácticas de las empresas afectaban a casi cincuenta millones de usuarios.
Por último, señaló los importantes beneficios de las empresas derivados de los ingresos publicitarios generados indirectamente por los datos recogidos por las cookies publicitarias.
El Comité restringido tomó nota debidamente de que las empresas han dejado de colocar automáticamente las cookies de publicidad cuando un usuario llega a la página google.fr, desde una actualización que se produjo en septiembre de 2020.
Sin embargo, ha constatado que el nuevo banner de información instalado por las empresas en el momento de la llegada de un usuario a la página google.fr sigue sin permitir a los usuarios residentes en Francia comprender los fines para los que se utilizan las cookies y no les permite saber que pueden rechazar dichas cookies.
Por consiguiente, además de las sanciones financieras, el comité restringido también ordenó a las empresas que informaran adecuadamente a las personas, de conformidad con el artículo 82 de la Ley de protección de datos, en un plazo de tres meses a partir de la notificación de la decisión. En caso contrario, las empresas deberán pagar una multa de 100.000 euros por cada día de retraso.
¿Eres una agencia, diseñador web u otro distribuidor?
Obtén una comisión del 30%, échale un vistazo a nuestro modelo para distribuidores o contáctanos para números superiores a 500 clientes
La competencia de la CNIL
En su decisión, el comité restringido recordó que la CNIL es materialmente competente para controlar y sancionar las cookies colocadas por las empresas en las computadoras de los usuarios que viven en Francia. Así pues, subrayó que el mecanismo de cooperación previsto por el PIBR (mecanismo de “ventanilla única”) no estaba destinado a aplicarse en este procedimiento, ya que las operaciones relacionadas con la utilización de cookies entran en el ámbito de la directiva “ePrivacy”, transpuesta en el artículo 82 de la Ley de protección de datos de Francia.
El comité restringido consideró que también era territorialmente competente, de conformidad con el artículo 3 de la Ley de protección de datos, porque el uso de cookies se realiza en el “marco de las actividades” de la empresa GOOGLE FRANCE, que es el “establecimiento” de las empresas GOOGLE LLC y GOOGLE IRELAND LIMITED en el territorio francés y que promociona sus productos y servicios.
También consideró que las empresas GOOGLE LLC y GOOGLE IRELAND LIMITED son corresponsables ya que ambas determinan los fines y medios relacionados con el uso de cookies.
El vínculo entre la sanción y el trabajo de la CNIL sobre las cookies
Como parte de su plan de acción sobre publicidad dirigida y a fin de tener en cuenta la entrada en vigor de la RPI, el 1 de octubre de 2020 la CNIL publicó sus directrices de enmienda y una recomendación sobre el uso de cookies y otros dispositivos de rastreo. La CNIL pidió a los actores que cumplieran con las normas, aclarando así, considerando que el período de adaptación no debería exceder de seis meses.
En esta ocasión, la CNIL añadió sin embargo que seguirá controlando plenamente el cumplimiento de las demás obligaciones que no se han modificado y, si es necesario, adoptando medidas correctivas para proteger la privacidad de los usuarios de Internet.
La CNIL sanciona hoy el incumplimiento por parte de las empresas de las obligaciones que existían antes de la RPI y que, por lo tanto, no se veían afectadas por las nuevas directrices y la recomendación del 1 de octubre de 2020.
NB: La empresa GOOGLE LLC, establecida en California, desarrolla el motor de búsqueda Google Search. La sociedad GOOGLE IRELAND LIMITED, con sede en Irlanda, se presenta como la sede europea del grupo Google. La empresa GOOGLE FRANCE es el establecimiento de GOOGLE LLC en Francia.
