Google et la CNIL : retour sur l’amende de 325 millions d’euros de 2025, la clôture de l’injonction en 2026 et les enjeux de conformité .
Le 14 octobre 2026, la CNIL a annoncé la clôture de l’injonction prononcée contre Google en septembre 2025. Cette affaire illustre les exigences croissantes des autorités européennes en matière de cookies, de consentement et de publicité ciblée.
Une sanction de 325 millions d’euros pour deux manquements.
En septembre 2025, la CNIL a infligé une amende totale de 325 millions d’euros à Google LLC et Google Ireland Limited. La décision concernait deux pratiques : l’insertion de publicités prenant l’apparence de courriels dans Gmail sans consentement préalable et l’information insuffisante des utilisateurs sur les cookies publicitaires lors de la création d’un compte Google.
La CNIL a notamment estimé que le refus des cookies était, jusqu’en octobre 2023, plus difficile que leur acceptation et que les utilisateurs n’étaient pas suffisamment informés des conséquences de leur inscription.
Les griefs reposaient notamment sur l’article 82 de la loi Informatique et Libertés et l’article L. 34-5 du Code des postes et des communications électroniques, dans le cadre européen de la directive ePrivacy.
Octobre 2026 : une injonction clôturée, mais une conformité à surveiller
Google a modifié son parcours de création de compte et la présentation des annonces Gmail. La CNIL a considéré que les mesures correctives demandées avaient été satisfaites.
Cette clôture n’annule pas l’amende et ne constitue pas une validation générale de l’ensemble des pratiques publicitaires de Google. L’autorité se réserve notamment la possibilité de réexaminer la clarté de l’information délivrée aux utilisateurs.
Un historique de sanctions qui interroge
Cette affaire s’inscrit dans une série de sanctions françaises : 50 millions d’euros en 2019 pour des manquements au RGPD, 100 millions en 2020 pour les cookies, 150 millions en 2021 pour les modalités de refus des traceurs, puis 325 millions en 2025. Ces montants représentent un total nominal de 625 millions d’euros.
Google a contesté certaines décisions et apporté des modifications à ses interfaces. Cette succession de procédures souligne néanmoins la persistance des enjeux de transparence et de consentement.
Quelle portée européenne ?
La CNIL a pu intervenir au titre des règles françaises relatives aux cookies et à la prospection électronique, sans que le mécanisme du guichet unique du RGPD lui soit applicable à ces griefs. En Irlande et au Luxembourg, les autorités nationales disposent de compétences propres, mais les sanctions ne sont comparables qu’en tenant compte des faits et des fondements juridiques de chaque dossier.
La conformité doit dépasser le simple affichage
Pour les entreprises, cette affaire rappelle qu’un bouton de refus ou une mention juridique ne suffisent pas : le choix doit être libre, compréhensible et réellement accessible. La conformité doit intégrer les équipes juridiques, techniques et marketing, avec des contrôles réguliers des interfaces.
La clôture d’une injonction marque une étape, pas une garantie de conformité générale. L’enjeu est de concevoir des services dans lesquels l’utilisateur comprend effectivement ce qu’il accepte.
Sources : CNIL – Clôture de l’injonction Google · CNIL – Sanction de 325 millions d’euros en 2025 · Conseil d’État – Sanctions relatives aux cookies · Autorité irlandaise de protection des données · CNPD Luxembourg.
