Le 24\u00a0ao\u00fbt 2022, la Commission nationale de l\u2019informatique et des libert\u00e9s (Cnil) a \u00e9t\u00e9 saisie d\u2019une plainte par l\u2019organisation non gouvernementale None Of Your Business. Cette organisation, qui veille \u00e0 l\u2019application des lois relatives \u00e0 la protection des donn\u00e9es (dont le RGPD1\u00a0et la directive ePrivacy2), fut mandat\u00e9e par\u00a0trois plaignants\u00a0qui reprochaient \u00e0 Google de transmettre des courriels publicitaires, sans leur consentement, dans l\u2019onglet Promotions de leur messagerie \u00e9lectronique Gmail.<\/p>\n
\u00c0 la suite de cette saisine, la Cnil proc\u00e9da \u00e0 plusieurs contr\u00f4les, y compris dans les locaux de la soci\u00e9t\u00e9 Google France, afin de v\u00e9rifier la conformit\u00e9 des traitements de donn\u00e9es \u00e0 caract\u00e8re personnel relatifs \u00e0 la mise en \u0153uvre et \u00e0 l\u2019utilisation du service de messagerie Gmail et du traitement publicitaire associ\u00e9.<\/p>\n
Dans sa d\u00e9cision publi\u00e9e le 1er septembre 2025, la Commission constate, d\u2019une part, que, lors de la cr\u00e9ation d\u2019un compte Google, les utilisateurs \u00e9taient incit\u00e9s \u00e0 choisir les traceurs li\u00e9s \u00e0 l\u2019affichage de publicit\u00e9s personnalis\u00e9es au d\u00e9triment de ceux relatifs \u00e0 la publicit\u00e9 g\u00e9n\u00e9rique et, d\u2019autre part, que le service de messagerie Gmail affiche de la publicit\u00e9 sous forme de courriel sans avoir recueilli l\u2019accord des utilisateurs.<\/p>\n
S\u2019agissant du premier de ces manquements, la Cnil rappelle que, selon la directive 2002\/58\/CE, dite \u00ab directive ePrivacy\u00a0\u00bb, tout utilisateur d\u2019un service de messagerie doit \u00eatre inform\u00e9 de mani\u00e8re claire et compl\u00e8te des conditions dans lesquelles des informations peuvent \u00eatre stock\u00e9es ou accessibles depuis son terminal et, sauf si les cookies sont strictement n\u00e9cessaires \u00e0 la fourniture du service demand\u00e9 ou qu\u2019ils ont pour seul but de faciliter la communication \u00e9lectronique, qu\u2019il doit disposer de la libert\u00e9 de s\u2019opposer \u00e0 un tel traitement de donn\u00e9es.<\/p>\n
La Cnil a ainsi relev\u00e9 que le service Gmail est propos\u00e9 gratuitement aux utilisateurs et que la maintenance ainsi que le d\u00e9veloppement de ce service reposent sur les revenus publicitaires du groupe Google et, donc, d\u00e9pendent du d\u00e9p\u00f4t de cookies.\u00a0Il appara\u00eet ainsi \u00e0 la Cnil que conditionner l\u2019acc\u00e8s au service Gmail \u00e0 l\u2019usage de cookies n\u2019a rien d\u2019ill\u00e9gal. Encore faut-il que les utilisateurs y consentent librement.<\/p>\n
La Cnil va, dans un premier temps, examiner dans quelle mesure il est ais\u00e9 pour un utilisateur de personnaliser les cookies lors de la cr\u00e9ation d\u2019un compte Google, n\u00e9cessaire \u00e0 l\u2019utilisation du service Gmail. Elle rel\u00e8ve alors que, avant les modifications apport\u00e9es par Google en 2023, la cr\u00e9ation d\u2019un compte permettait, en deux clics, de souscrire au d\u00e9p\u00f4t ou \u00e0 l\u2019\u00e9criture de cookies favorisant l\u2019affichage de publicit\u00e9s personnalis\u00e9es. En revanche, il fallait effectuer six clics pour refuser la personnalisation des annonces\u00a0via\u00a0ces cookies\u00a0et donc, opter pour la publicit\u00e9 g\u00e9n\u00e9rique. N\u00e9anmoins, la Cnil constate que les modifications apport\u00e9es en octobre 2023 corrigent cette situation puisqu\u2019il est d\u00e9sormais tout aussi facile de refuser la personnalisation des annonces que de l\u2019accepter.<\/p>\n
Dans un second temps, la Cnil s\u2019int\u00e9resse aux informations communiqu\u00e9es par Google relatives aux cookies publicitaires lors de la cr\u00e9ation du compte. Elle observe que, tant avant qu\u2019apr\u00e8s 2023, le parcours de cr\u00e9ation d\u2019un compte n\u2019indique pas suffisamment clairement aux utilisateurs que cela implique n\u00e9cessairement le d\u00e9p\u00f4t de cookies \u00e0 finalit\u00e9 publicitaire. Or, c\u2019est un \u00e9l\u00e9ment important du consentement, au regard de la Cnil, puisque, sans cette information, un utilisateur n\u2019est pas pleinement \u00e9clair\u00e9 sur ce qu\u2019implique la cr\u00e9ation d\u2019un compte Google. La Cnil observe \u00e0 cet \u00e9gard que Google aurait pu opter pour un \u00ab mur de traceurs \u00bb, c\u2019est-\u00e0-dire une option conditionnant l\u2019acc\u00e8s \u00e0 un contenu\u00a0: soit \u00e0 l\u2019acceptation de traceurs contribuant \u00e0 r\u00e9mun\u00e9rer son service\u00a0; soit au paiement d\u2019une somme d\u2019argent. Toutefois, la Commission d\u00e9plore qu\u2019\u00e0 d\u00e9faut l\u2019utilisateur soit confront\u00e9 \u00e0 un parcours \u00ab\u00a0complexe et ambigu\u00a0\u00bb.<\/p>\n
\u00c0 la lumi\u00e8re de ces deux \u00e9l\u00e9ments, la Cnil constate que les modalit\u00e9s du consentement du d\u00e9p\u00f4t et de la lecture des cookies publicitaires ne r\u00e9pondent pas aux exigences de la directive ePrivacy.<\/p>\n
S\u2019agissant du second de ces manquements, la Cnil rappelle qu\u2019une personne ne peut faire l\u2019objet de prospection par un moyen de communication \u00e9lectronique automatis\u00e9 qu\u2019\u00e0 la condition pr\u00e9alable d\u2019avoir exprim\u00e9 son consentement \u00e0 un tel d\u00e9marchage et par un tel moyen de communication.<\/p>\n
La Cnil va alors s\u2019appuyer sur la jurisprudence de la Cour de justice de l\u2019Union europ\u00e9enne et, plus particuli\u00e8rement, sur son arr\u00eat StWL St\u00e4dtische Werke Lauf a.d. Pegnitz GmbH3\u00a0ayant jug\u00e9 que\u00a0: \u00ab\u00a0Si\u00a0des entr\u00e9es publicitaires de quelque nature que ce soit apparaissent dans la bo\u00eete de r\u00e9ception de la messagerie internet, \u00e0 savoir dans la rubrique dans laquelle l\u2019ensemble des courriers \u00e9lectroniques adress\u00e9s \u00e0 l\u2019utilisateur s\u2019affichent, il y a lieu de consid\u00e9rer que cette bo\u00eete de r\u00e9ception constitue le moyen par lequel les messages publicitaires concern\u00e9s sont communiqu\u00e9s \u00e0 cet utilisateur, ce qui implique l\u2019utilisation de son courrier \u00e9lectronique \u00e0 des fins de prospection directe, au sens de l\u2019article\u00a013, paragraphe\u00a01, de la directive\u00a02002\/58.\u00a0\u00bb4<\/p>\n
La Cnil observe ensuite que l\u2019affichage des versions mobile et web de la bo\u00eete de r\u00e9ception des utilisateurs du service Gmail fait appara\u00eetre des messages publicitaires dont l\u2019apparence se rapproche de v\u00e9ritables courriels. Google faisait valoir qu\u2019il ne s\u2019agissait pas de v\u00e9ritables courriels puisque ces messages n\u2019\u00e9taient pas stock\u00e9s dans l\u2019espace de stockage des courriels des utilisateurs, qu\u2019ils changeaient \u00e0 intervalles r\u00e9guliers et qu\u2019ils n\u2019\u00e9taient pas \u00e9chang\u00e9s entre deux personnes identifiables. Il reste que, pour la Cnil, en vertu de l\u2019arr\u00eat de la Cour de Justice de l\u2019Union europ\u00e9enne, l\u2019argument n\u2019est pas pertinent : le seul fait que ces messages publicitaires soient ins\u00e9r\u00e9s dans un espace normalement r\u00e9serv\u00e9 aux courriels priv\u00e9s, lesquels sont adress\u00e9s directement et individuellement aux utilisateurs, suffit \u00e0 les qualifier de \u00ab\u00a0courrier \u00e9lectronique \u00e0 des fins de prospection\u00a0\u00bb.<\/p>\n
Le m\u00eame constat s\u2019impose \u00e0 la Cnil concernant les changements effectu\u00e9s par Google, en 2023, dans son service de messagerie\u00a0: Google avait pourtant modifi\u00e9 l\u2019affichage de ces messages, et r\u00e9alis\u00e9 un sondage r\u00e9v\u00e9lant que, suite \u00e0 ces changements visuels, peu d\u2019utilisateurs les confondaient avec de v\u00e9ritables messages. N\u00e9anmoins, insiste la Cnil, ce n\u2019est pas tant l\u2019apparence qui compte, que leur emplacement.<\/p>\n
Quant \u00e0 la question du consentement, Google soutenait que celui-ci \u00e9tait recueilli lors de la cr\u00e9ation d\u2019un compte. Argument rejet\u00e9 par la Cnil qui rel\u00e8ve que la cr\u00e9ation d\u2019un compte Google ne mentionne jamais explicitement \u00e0 l\u2019utilisateur qu\u2019il est susceptible de recevoir de la publicit\u00e9 au sein de sa messagerie Gmail. Il est seulement indiqu\u00e9, sans autre pr\u00e9cision, que des publicit\u00e9s seront affich\u00e9es sur les services Google.<\/p>\n
Au vu de ces manquements, il est donc justifi\u00e9, selon la Cnil, d\u2019imposer \u00e0 Google la lourde amende de 325\u00a0millions d\u2019euros, ainsi que l\u2019injonction de r\u00e9gulariser la situation dans un d\u00e9lai de six mois sous peine d\u2019une astreinte de 100\u00a0000\u00a0euros par jour de retard.<\/p>\n
On observe que, pour parvenir \u00e0 un tel montant, la d\u00e9cision de la Cnil a tenu compte du fait que les r\u00e8gles relatives \u00e0 la prospection commerciale par voie \u00e9lectronique ont \u00e9t\u00e9 d\u00e9finies dans les l\u00e9gislations fran\u00e7aise et europ\u00e9enne il y a de nombreuses ann\u00e9es et que, compte tenu de la place qu\u2019occupe Google sur le march\u00e9 et des moyens dont cette soci\u00e9t\u00e9 dispose, celle-ci s\u2019est montr\u00e9e particuli\u00e8rement n\u00e9gligente. En outre, la pr\u00e9sente d\u00e9cision s\u2019appuie sur une pr\u00e9c\u00e9dente condamnation de Google par la Cnil\u00a0en d\u00e9cembre 2021\u00a0:\u00a0le groupe am\u00e9ricain n\u2019avait pas install\u00e9, sur les sites youtube.com et google.fr, des options pour refuser les op\u00e9rations consistant \u00e0 d\u00e9poser et \u00e0 lire un cookie qui aient le m\u00eame degr\u00e9 de simplicit\u00e9 que celui pr\u00e9vu pour en accepter l\u2019usage. Il \u00e9tait donc \u00e9vident pour la Cnil que Google \u00e9tait \u00e0 m\u00eame de mesurer la port\u00e9e de ses obligations sur l\u2019ensemble de ses services et de d\u00e9terminer ceux n\u2019\u00e9tant pas conformes \u00e0 la l\u00e9gislation en vigueur.<\/p>\n
Alors m\u00eame que la l\u00e9gislation europ\u00e9enne relative \u00e0 la protection des donn\u00e9es fait grincer des dents outre-Atlantique, la d\u00e9cision de la Cnil et le montant de l\u2019amende inflig\u00e9e \u00e0 Google tendent \u00e0 indiquer que cette protection, au moins en France, ne se n\u00e9gocie pas, m\u00eame sous la menace de l\u2019augmentation des droits de douane.<\/p>\n
- \n
- R\u00e8glement (UE) 2016\/679 du Parlement europ\u00e9en et du Conseil du 27 avril 2016 relatif \u00e0 la protection des personnes physiques \u00e0 l\u2019\u00e9gard du traitement des donn\u00e9es \u00e0 caract\u00e8re personnel et \u00e0 la libre circulation de ces donn\u00e9es, et abrogeant la directive 95\/46\/CE (r\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es).<\/li>\n
- Directive 2002\/58\/CE du Parlement europ\u00e9en et du Conseil du 12 juillet 2002 concernant le traitement des donn\u00e9es \u00e0 caract\u00e8re personnel et la protection de la vie priv\u00e9e dans le secteur des communications \u00e9lectroniques (directive Vie priv\u00e9e et communications \u00e9lectroniques).<\/li>\n
- Arr\u00eat StWL St\u00e4dtische Werke Lauf a.d. Pegnitz ontre eprimo GmbH, C 102\/20,\u00a0 EU:C:2021:954, 25 novembre 2021.<\/li>\n
- Ibid., point 44.<\/li>\n<\/ol>\n
Sources :<\/p>\n
- \n
- Cnil, \u00ab D\u00e9lib\u00e9ration de la formation restreinte n\u00b0 SAN-2025-004 du 1er septembre 2025 concernant les soci\u00e9t\u00e9s Google LLC et Google Ireland Limited \u00bb, cnil.fr<\/li>\n
- Cnil, \u00ab Publicit\u00e9s ins\u00e9r\u00e9es entre les courriels et cookies : la Cnil sanctionne Google d\u2019une amende de 325 millions d\u2019euros \u00bb, cnil.fr, 3 septembre 2025.<\/li>\n<\/ul>\n
![\"Print](\"https:\/\/www.europesays.com\/fr\/wp-content\/uploads\/2026\/01\/pdf-1.png\")