Résumé des faits
Après avoir effectué plusieurs contrôles sur le site voodoo.io et sur des applications éditées par la société Voodoo, la CNIL a sanctionné la société d’une amende publique de 3 millions d’euros, pour non-respect des exigences sur le consentement. Elle a également adopté à l’encontre de Voodoo une injonction de recueillir le consentement de l’utilisateur à l’utilisation de l’IDFV à des fins publicitaires, dans un délai de trois mois, aux exigences légales, faute de quoi elle s’exposera au paiement d’une astreinte de 20 000 euros par jour de retard.
Motifs de la sanction / Manquements
- Non-respect de l’art. 82 de la loi Informatique et Libertés
Absence de recueil du consentement préalablement à l’utilisation d’un identifiant essentiellement technique à des fins publicitaires.
Que retenir de la décision ?
- Une opération de la lecture de l’IDFV des utilisateurs poursuivant une finalité publicitaire, elle n’a pas pour finalité de permettre la communication par voie électronique et n’est pas strictement nécessaire à la fourniture d’un service de communication en ligne à la demande expresse de l’utilisateur.
- Une opération de lecture de l’IDFV permettant de suivre l’activité de l’utilisateur à des fins publicitaires ne peut être effectuée sur le terminal de la personne sans consentement préalable.
- Lorsque des informations sur les habitudes de navigation des utilisateurs sont collectées afin de leur proposer des publicités, ces dernières sont considérées comme étant « personnalisées », et ce même si les données ne permettent qu’une faible personnalisation.
- Le fait de procéder à des opérations de lecture et/ou d’écriture à des fins publicitaires malgré le refus de l’utilisateur prive d’effectivité le choix effectué.
Le + DLD
- Lors de la détermination du montant de l’amende, la CNIL tient, entre autres, compte de la gravité des manquements, du nombre de personnes concernées, des avantages financiers obtenus du fait du manquement et du chiffre d’affaires réalisé.
- Pour décider de la publication ou pas de la sanction, la CNIL tient notamment compte de la gravité des manquements, de la portée du traitement et du nombre de personnes concernées.
