Cookies et publicité Gmail : la CNIL clôt son injonction contre Google

• 2026-10-18
• Actualités
• La rédaction
• Source: Commission nationale de l'informatique et des libertés (CNIL) https://www.cnil.fr/fr/cloture-injonction-google

La Commission nationale de l'informatique et des libertés (CNIL) a annoncé, par une décision du 23 septembre 2026, la clôture de l'injonction qu'elle avait prononcée le 1er septembre 2025 à l'encontre des sociétés Google LLC et Google Ireland Limited. L'autorité française estime que les deux entités ont satisfait, dans le délai imparti, aux deux mises en conformité exigées, sous peine d'une astreinte de 100 000 euros par jour de retard.

Key facts

Quelles obligations avaient été imposées ?

• Le 1er septembre 2025, la formation restreinte de la CNIL avait assorti une amende de 325 millions d'euros d'une injonction de mise en conformité sous six mois visant Google LLC et Google Ireland Limited.
• Google devait informer clairement les utilisateurs en France que la création d'un compte Google entraîne nécessairement le dépôt de cookies publicitaires.
• Google devait aussi recueillir le consentement des utilisateurs de Gmail avant d'afficher des annonces prenant la forme de courriels insérés entre les messages privés.
• Le non-respect de ces obligations exposait les sociétés à une astreinte de 100 000 euros par jour de retard.
• La formation restreinte a clos la procédure le 23 septembre 2026, au vu des modifications apportées par les deux sociétés.

Dans sa délibération du 1er septembre 2025, la formation restreinte, organe de la CNIL chargé de prononcer les sanctions, avait complété une amende de 325 millions d'euros par deux injonctions distinctes. La première portait sur l'information des utilisateurs : il s'agissait de leur permettre de comprendre que des cookies poursuivant une finalité publicitaire seront nécessairement déposés dès la création d'un compte Google. La seconde concernait la messagerie Gmail, où des annonces publicitaires prennent la forme de courriels insérés entre les messages privés des utilisateurs ; leur affichage devait être subordonné au recueil préalable du consentement.

Les deux sociétés disposaient d'un délai de six mois pour se mettre en conformité. À défaut, elles s'exposaient au paiement d'une astreinte de 100 000 euros par jour de retard. Comment Google s'est-il mis en conformité ?

Selon la CNIL, les sociétés ont complété le parcours de création de compte Google en ajoutant des informations précisant que cette création est conditionnée par le dépôt de cookies publicitaires, en contrepartie de la gratuité du service. Elles ont par ailleurs modifié le format des annonces présentées dans Gmail, de sorte qu'elles se distinguent désormais clairement des véritables courriels.

Cette dernière modification a une conséquence juridique : dans ce cas de figure, le recueil du consentement n'est plus nécessaire au titre de l'article L. 34-5 du code des postes et des communications électroniques. Sur la base de ces éléments, et compte tenu du périmètre de l'injonction, la formation restreinte a considéré que les demandes avaient été satisfaites dans le délai imparti. La décision est-elle définitive ?

La clôture ne porte que sur le périmètre de l'injonction prononcée dans la délibération du 1er septembre 2025. Elle ne préjuge pas de l'analyse de la CNIL sur la conformité de l'ensemble du parcours de création de compte Google à toutes les dispositions de l'article 82 de la loi Informatique et Libertés, notamment s'agissant de la clarté des informations dispensées et de l'intelligibilité des écrans successivement présentés à l'utilisateur.

L'autorité indique se réserver la possibilité d'effectuer à l'avenir d'autres contrôles et, si nécessaire, de mobiliser l'ensemble de sa chaîne répressive. La décision de clôture a été publiée sous la référence SAN-2026-014 du 23 septembre 2026. Quelles suites pour les contrôles de la CNIL ?

La CNIL renvoie à sa délibération du 1er septembre 2025 et à ses ressources sur les cookies et autres traceurs pour le détail du dossier. Elle mentionne également, parmi les sujets liés, la clôture d'injonctions visant France Travail et la société Solocal Marketing Services, ainsi qu'une sanction de 300 000 euros pour non-respect des droits des personnes. Pour Google, la clôture de cette procédure ne ferme donc pas le dossier de façon définitive : l'autorité conserve la faculté de rouvrir un contrôle sur l'ensemble du parcours de création de compte, sans qu'aucun calendrier n'ait été annoncé.

Source: Commission nationale de l'informatique et des libertés (CNIL)