Le 14 octobre 2026, la CNIL annonce la clôture de l’injonction prononcée contre Google en septembre 2025. Une décision qui pourrait laisser penser que le géant américain a définitivement réglé ses problèmes de conformité en matière de publicité et de cookies.
La réalité est plus nuancée.
Google a effectivement modifié deux éléments de ses services : la présentation des annonces publicitaires dans Gmail et les informations fournies lors de la création d’un compte.
Ces changements ont été jugés suffisants pour satisfaire aux demandes précises de la CNIL. Mais ils ne constituent pas une validation générale de l’ensemble des pratiques de Google.
Derrière cette décision se cache une question essentielle pour les professionnels du digital : à quel moment suffit-il d’informer l’utilisateur, et dans quels cas faut-il impérativement obtenir son consentement ?
Une distinction particulièrement importante pour les sites e-commerce, les plateformes marketing et les services numériques financés par la publicité.
Publicité, cookies et consentement : les enseignements de la décision de la CNIL concernant Google.Sommaire
- Google et la CNIL : retour sur la sanction de 2025
- Ce que Google a réellement modifié en 2026
- Publicité et cookies : deux mécanismes, deux règles
- Pourquoi la transparence ne suffit pas toujours
- Ce que cette décision change pour les professionnels du digital
- Checklist : transparence et consentement
- Que retenir ?
Google et la CNIL : retour sur la sanction de 2025
Une amende de 325 millions d’euros
Le 1er septembre 2025, la CNIL prononce deux amendes contre Google LLC et Google Ireland Limited, pour un montant total de 325 millions d’euros.
La décision repose sur deux manquements distincts.
Le premier concerne Gmail. Google affichait des annonces publicitaires au milieu des courriels privés, notamment dans les onglets « Promotions » et « Réseaux sociaux ».
Ces annonces reprenaient l’apparence de véritables messages électroniques, sans que les utilisateurs aient préalablement consenti à recevoir cette forme de prospection commerciale.
Le second manquement concerne le parcours de création d’un compte Google.
La CNIL estimait que les utilisateurs n’étaient pas suffisamment informés du fait que l’accès aux services était conditionné au dépôt de cookies publicitaires.
Elle avait également relevé que, jusqu’en octobre 2023, le refus des traceurs liés à la publicité personnalisée était plus difficile que leur acceptation.
Autrement dit, Google était sanctionné à la fois pour la manière dont certaines publicités étaient présentées et pour les conditions dans lesquelles les utilisateurs acceptaient les traceurs publicitaires.
Une injonction assortie d’une astreinte
Au-delà de la sanction financière, la CNIL avait imposé à Google de corriger ces deux situations dans un délai de six mois.
Les sociétés s’exposaient, en cas de non-respect, à une astreinte de 100 000 euros par jour de retard chacune.
L’objectif était précis : améliorer l’information relative aux cookies publicitaires et mettre fin à l’affichage de publicités assimilables à des courriers électroniques sans consentement préalable.
C’est cette injonction, et uniquement celle-ci, qui vient d’être clôturée.
Ce que Google a réellement modifié en 2026
Le 23 septembre 2026, la formation restreinte de la CNIL décide de clore l’injonction. La décision est rendue publique le 14 octobre.
Deux évolutions expliquent cette clôture.
1. Une information plus explicite lors de la création d’un compte
Google a complété son parcours d’inscription afin de préciser que la création d’un compte est conditionnée au dépôt de cookies publicitaires.
L’entreprise indique désormais plus explicitement que ces traceurs participent au modèle économique permettant de proposer gratuitement ses services.
Ce changement répond à un problème identifié par la CNIL : l’utilisateur ne comprenait pas suffisamment les conséquences de son choix.
Il pouvait notamment penser qu’en refusant la publicité personnalisée, il refusait également l’ensemble des cookies publicitaires.
Or, dans le fonctionnement examiné par la CNIL, des traceurs publicitaires étaient déposés indépendamment du choix entre publicité personnalisée et publicité générique.
La distinction est importante : refuser la personnalisation publicitaire ne signifie pas nécessairement refuser tout dépôt de traceurs publicitaires.
Google devait donc rendre cette réalité intelligible.
La CNIL considère que les nouvelles informations répondent à la demande formulée dans son injonction.
Cela ne signifie toutefois pas qu’elle a définitivement validé l’ensemble du mécanisme de consentement.
2. Des publicités Gmail désormais clairement identifiables
La seconde modification concerne directement l’interface de Gmail.
Jusqu’alors, certaines annonces apparaissaient au milieu des messages reçus, avec une présentation suffisamment proche de celle des courriels pour être assimilées à de la prospection commerciale par courrier électronique.
Google a modifié leur format afin qu’elles se distinguent désormais clairement des véritables messages.
Cette évolution change l’analyse juridique de leur affichage.
Dans cette nouvelle configuration, la CNIL considère que le consentement préalable n’est plus nécessaire au titre de l’article L.34-5 du Code des postes et des communications électroniques.
Il ne s’agit donc pas simplement d’avoir ajouté une mention « Publicité ».
C’est la distinction effective entre une annonce publicitaire et un véritable courrier électronique qui permet de sortir du régime de consentement applicable à la prospection par email.
Cette nuance est fondamentale.
Une publicité identifiable n’est pas automatiquement une publicité dispensée de toute obligation en matière de données personnelles.
Publicité et cookies : deux mécanismes, deux règles
Pour comprendre la décision, il faut distinguer trois situations qui sont souvent mélangées dans les stratégies marketing.
Une publicité électronique qui ressemble à un email
Lorsqu’un message publicitaire est inséré dans une messagerie électronique en prenant l’apparence d’un véritable courrier, il peut relever des règles encadrant la prospection directe par courrier électronique.
C’est précisément ce qui avait été reproché à Google.
L’article L.34-5 du Code des postes et des communications électroniques prévoit, en principe, un consentement préalable pour la prospection commerciale par courrier électronique auprès des personnes physiques, sous réserve des exceptions prévues par le texte.
Le raisonnement ne dépend donc pas uniquement du canal technique utilisé pour diffuser la publicité.
La manière dont le message est présenté à l’utilisateur peut également jouer un rôle déterminant.
Une publicité clairement identifiable
Une annonce intégrée à une interface numérique, mais clairement distincte des communications privées, ne relève pas nécessairement du même régime.
C’est le changement opéré par Google dans Gmail.
En distinguant visuellement ses annonces des courriels, l’entreprise a modifié les caractéristiques qui avaient conduit la CNIL à appliquer l’article L.34-5.
Attention cependant : cela ne signifie pas que toute publicité clairement identifiée échappe à l’ensemble des règles relatives à la vie privée.
Si son affichage repose sur des cookies publicitaires, des identifiants ou d’autres traitements de données personnelles, des obligations supplémentaires peuvent s’appliquer.
L’identification visuelle d’une publicité et la licéité des traitements nécessaires à son affichage sont deux questions différentes.
Le dépôt de cookies publicitaires
Le troisième cas concerne les traceurs.
L’article 82 de la loi Informatique et Libertés encadre les opérations permettant d’inscrire des informations sur le terminal d’un utilisateur ou d’accéder à des informations qui y sont déjà stockées.
En principe, ces opérations nécessitent une information claire et complète ainsi qu’un consentement préalable.
Certaines exceptions existent, notamment pour les traceurs strictement nécessaires à la fourniture d’un service expressément demandé.
Mais les cookies utilisés pour le ciblage ou le reciblage publicitaire ne bénéficient pas, par principe, de ces exemptions.
Il ne suffit donc pas d’indiquer qu’un site utilise des cookies publicitaires pour considérer que leur dépôt est autorisé.
L’information et le consentement répondent à deux obligations complémentaires.
| Situation | Texte principalement concerné | Principe |
|---|---|---|
| Prospection commerciale par email | Article L.34-5 du CPCE | Consentement préalable en principe, sauf exceptions |
| Publicité clairement identifiable dans une interface | Qualification selon les caractéristiques du dispositif | Pas automatiquement soumise au consentement prévu pour la prospection par email |
| Dépôt de cookies publicitaires | Article 82 de la loi Informatique et Libertés | Consentement préalable en principe, sauf exemption applicable |
Une même opération marketing peut d’ailleurs relever de plusieurs réglementations.
Par exemple, une campagne de reciblage publicitaire par email peut nécessiter de respecter simultanément les règles relatives aux traceurs et celles concernant la prospection électronique.
Pourquoi la transparence ne suffit pas toujours
Informer n’est pas faire consentir
La décision Google illustre une distinction essentielle.
Informer consiste à expliquer clairement à l’utilisateur ce qui va se produire.
Consentir consiste à recueillir une manifestation de volonté répondant aux conditions prévues par la réglementation.
Ces deux démarches ne sont pas interchangeables.
Une entreprise peut parfaitement expliquer qu’elle utilise des cookies publicitaires tout en ne respectant pas les conditions nécessaires à leur dépôt.
À l’inverse, un consentement recueilli au moyen d’un bouton ne sera pas nécessairement valable si l’utilisateur ne comprend pas réellement ce qu’il accepte.
La conformité ne se résume donc ni à la présence d’une information, ni à celle d’un bouton.
Elle dépend de l’ensemble du parcours proposé.
Le modèle gratuit financé par la publicité ne règle pas tout
Le cas Google soulève également la question du financement des services numériques.
De nombreuses plateformes proposent des services gratuits en contrepartie de revenus publicitaires.
Ce modèle économique peut être expliqué aux utilisateurs.
Mais son existence ne dispense pas automatiquement l’entreprise des obligations relatives au consentement.
Dans sa décision de septembre 2025, la CNIL avait admis qu’un accès à un service puisse, sous certaines conditions, être lié au dépôt de traceurs publicitaires.
Elle insistait néanmoins sur la nécessité pour l’utilisateur de comprendre clairement la portée et les conséquences de ses choix.
Il serait donc excessif d’interpréter la clôture de l’injonction comme une validation générale des modèles « consentir ou payer » ou des parcours imposant des traceurs publicitaires.
La décision du 23 septembre 2026 ne tranche pas l’ensemble de ces questions.
Un parcours peut être transparent sur un point et problématique sur un autre
C’est probablement l’enseignement le plus important de cette affaire.
La CNIL indique expressément que la clôture de l’injonction ne préjuge pas de la conformité de l’intégralité du parcours de création de compte Google à l’article 82.
Elle mentionne notamment deux sujets susceptibles de faire l’objet de nouveaux examens :
- la clarté des informations fournies ;
- l’intelligibilité des différents écrans successivement présentés à l’utilisateur.
La CNIL conserve ainsi la possibilité de procéder à de nouveaux contrôles et, si nécessaire, d’engager de nouvelles procédures.
Google a satisfait aux demandes précises de l’injonction. Cela ne signifie pas que l’ensemble de son parcours utilisateur a été déclaré conforme.
Cette différence entre correction d’un manquement identifié et conformité globale mérite d’être retenue par tous les professionnels du numérique.
Ce que cette décision change pour les professionnels du digital
La décision ne crée pas une nouvelle réglementation.
Elle rappelle néanmoins plusieurs principes directement applicables aux pratiques des entreprises.
Pour les sites e-commerce : regarder au-delà de la bannière cookies
Sur un site marchand, la gestion du consentement est souvent réduite à l’installation d’une plateforme de gestion des cookies, ou CMP.
Axeptio, Didomi, Cookiebot ou d’autres solutions permettent de recueillir et de conserver les préférences des visiteurs.
Mais leur présence ne garantit pas, à elle seule, la conformité du site.
Il faut également vérifier ce qui se passe techniquement.
Les traceurs publicitaires sont-ils réellement bloqués avant consentement ?
Le refus est-il aussi simple que l’acceptation ?
Les finalités sont-elles compréhensibles ?
Les scripts marketing respectent-ils les préférences exprimées ?
Un site peut présenter une interface de consentement parfaitement lisible tout en déclenchant prématurément des outils de suivi publicitaire.
La conformité doit donc être vérifiée à la fois dans l’interface et dans son fonctionnement technique.
Pour les plateformes marketing : distinguer les différents consentements
Les outils marketing combinent fréquemment plusieurs mécanismes.
Une même plateforme peut collecter des données de navigation, constituer des audiences publicitaires, personnaliser des contenus et envoyer des communications commerciales.
Ces opérations ne reposent pas nécessairement sur les mêmes règles.
Le consentement au dépôt de cookies publicitaires ne vaut pas automatiquement consentement à recevoir des emails commerciaux.
Inversement, accepter une newsletter ne signifie pas autoriser l’ensemble des traceurs publicitaires présents sur un site.
Les entreprises doivent donc identifier précisément les finalités poursuivies et les obligations applicables à chacune.
Cette distinction devient particulièrement importante dans les écosystèmes connectant CRM, outils d’emailing, plateformes publicitaires et solutions d’analyse d’audience.
Pour les interfaces publicitaires : le design devient un sujet de conformité
Le cas Gmail montre qu’un choix d’interface peut avoir des conséquences juridiques.
Une publicité présentée comme un message personnel ne produit pas la même expérience qu’une annonce clairement séparée des communications privées.
Cette différence peut modifier la qualification du dispositif.
Pour les plateformes qui intègrent des contenus sponsorisés dans des flux, messageries ou tableaux de bord, la conception graphique ne doit donc pas être considérée uniquement sous l’angle de la performance publicitaire.
La lisibilité de la publicité, son emplacement et sa distinction avec les contenus personnels méritent une attention particulière.
Cela ne signifie pas qu’un simple changement de couleur ou l’ajout d’un pictogramme suffit systématiquement.
L’ensemble de la présentation doit permettre à l’utilisateur de comprendre la nature du contenu affiché.
Pour les équipes produit : auditer le parcours complet
La dernière leçon concerne l’expérience utilisateur.
Les obligations d’information et de consentement ne doivent pas être analysées uniquement écran par écran.
Un utilisateur peut recevoir des informations exactes mais dispersées, difficiles à rapprocher ou présentées dans un ordre qui complique la compréhension.
La question n’est donc pas seulement de savoir si une information existe.
Il faut également déterminer si l’utilisateur peut réellement la comprendre au moment où il effectue son choix.
Cette approche implique de travailler conjointement sur les dimensions juridiques, techniques et ergonomiques.
Checklist : transparence et consentement
Pour les responsables e-commerce, marketing et digital, voici les principaux points à examiner.
Transparence et information
☐ Les finalités des cookies et autres traceurs sont clairement expliquées.
☐ L’utilisateur comprend la différence entre publicité générique et publicité personnalisée.
☐ Les informations essentielles sont accessibles avant le choix de consentement.
☐ Les conséquences de l’acceptation et du refus sont compréhensibles.
☐ Les éventuelles conditions d’accès au service sont présentées explicitement.
☐ Les différents écrans du parcours ne créent pas de confusion sur les choix proposés.
Recueil du consentement
☐ Aucun traceur publicitaire soumis au consentement n’est activé avant l’accord de l’utilisateur.
☐ Le refus des traceurs est aussi simple que leur acceptation.
☐ Les choix sont suffisamment spécifiques aux finalités concernées.
☐ Le consentement résulte d’une action positive lorsque celui-ci est requis.
☐ L’utilisateur peut retirer son consentement facilement.
☐ Les choix exprimés sont correctement pris en compte par les outils techniques.
Publicité et prospection commerciale
☐ Les annonces publicitaires sont clairement identifiables.
☐ Les contenus sponsorisés ne créent pas de confusion avec des communications personnelles.
☐ Les campagnes de prospection électronique respectent les règles de consentement applicables.
☐ Les consentements à la prospection commerciale et aux traceurs sont distingués lorsque nécessaire.
☐ Les mécanismes de désinscription et d’opposition fonctionnent correctement.
Vérification technique
☐ Les scripts publicitaires ont été testés avant et après consentement.
☐ Les outils de suivi et de reciblage respectent les préférences des visiteurs.
☐ Les modifications apportées aux parcours sont documentées.
☐ Les nouvelles intégrations marketing font l’objet d’une vérification.
☐ Le parcours est régulièrement réévalué après les mises à jour du site et de ses outils.
Cette checklist constitue une base d’audit opérationnel. Elle ne remplace pas une analyse juridique adaptée aux traitements et aux dispositifs effectivement utilisés.
Que retenir ?
La clôture de l’injonction contre Google ne marque pas la fin des interrogations sur les cookies et la publicité numérique.
Elle apporte surtout plusieurs enseignements.
Premièrement, la présentation d’une publicité compte. Une annonce qui ressemble à un véritable courrier électronique peut relever de règles différentes de celles applicables à une publicité clairement identifiable.
Deuxièmement, la transparence et le consentement sont complémentaires. Informer correctement l’utilisateur ne dispense pas de recueillir son accord lorsque la réglementation l’exige.
Troisièmement, corriger un point précis ne garantit pas la conformité de l’ensemble d’un parcours. La CNIL a clôturé une injonction délimitée, tout en conservant la possibilité d’examiner plus largement les pratiques de Google.
Pour les professionnels du digital, le message dépasse largement le cas du géant américain.
La conformité ne se joue pas uniquement dans les mentions légales, les bandeaux cookies ou les paramètres d’une plateforme marketing.
Elle se construit dans la cohérence entre ce que l’utilisateur comprend, ce qu’il choisit et ce que les outils réalisent effectivement.
Et c’est précisément cette cohérence qui mérite aujourd’hui d’être auditée.
Sources officielles
CNIL — 14 octobre 2026
Clôture de l’injonction prononcée à l’encontre de Google.
CNIL — 3 septembre 2025
Publicités insérées entre les courriels et cookies : la CNIL sanctionne Google d’une amende de 325 millions d’euros.
Légifrance — Article L.34-5 du CPCE
Encadrement de la prospection commerciale par voie électronique.
Légifrance — Article 82 de la loi Informatique et Libertés
Règles applicables aux cookies et autres traceurs.
CNIL — Questions-réponses sur les cookies et autres traceurs
Précisions sur les modalités d’information, de consentement et de refus.
0 commentaires