Yahoo! a été sanctionné par la CNIL d’une amende de 10 millions d’euros, a annoncé cette dernière, jeudi 18 janvier. Il est reproché à la société américaine de ne pas respecter le refus des cookies sur Yahoo.com et de ne pas permettre aux utilisateurs de Yahoo! Mail de retirer librement leur consentement aux cookies. Ce constat vient de plusieurs contrôles effectués par la CNIL sur les deux sites web entre octobre 2020 et juin 2021.

Sur le moteur de recherche, la CNIL a remarqué que malgré l’absence de consentement exprimé sur les cookies, Yahoo.com déposait tout de même une vingtaine de cookies à des fins publicitaires sur le terminal de l’internaute. Ces derniers ne peuvent être déposés uniquement si un consentement explicite a été donné.

Du côté du service de messagerie, un utilisateur voulant retirer son consentement sur les cookies était informé qu’il ne pourrait plus accéder aux services proposés et qu’il perdrait l’accès à sa messagerie. Les internautes acceptaient les cookies lors de leur inscription et se retrouvaient donc ensuite bloqués.

Yahoo! Mail, un service intimement lié à la vie privée

Bien que lier l’utilisation d’un service à celle de cookies dans les conditions générales d’utilisation ne soit pas illégal, il est obligatoire de laisser un libre consentement. Un refus de l’utilisation des cookies ne doit donc pas entraîner préjudice pour l’utilisateur. Par conséquent, Yahoo ne peut pas contraindre ses utilisateurs de perdre l’accès à ses services de messagerie pour ce motif.

La CNIL a souligné « qu’une adresse de messagerie électronique constituait pourtant un élément de la vie privée de son utilisateur […] Ainsi, à mesure qu’il utilise son adresse de messagerie, l’utilisateur ne peut plus la remplacer par n’importe quel service similaire aussi facilement qu’il l’aurait fait initialement ».

Yahoo! a été sanctionné le 29 décembre 2023, au titre de l’article 82 de la loi Informatique et Libertés. Celui-ci implique que « tout abonné ou utilisateur d’un service de communications électroniques doit être informé de manière claire et complète » de la « finalité de toute action tendant à accéder à des informations déjà stockées », ainsi que des « moyens dont il dispose pour s’y opposer ».