La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS et Didier KLING, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu le code des postes et des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la décision n° 2025-1154 du 8 août 2025 du Conseil Constitutionnel relative à la conformité aux droits et libertés garantis par la Constitution de l’article 22 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.

Vu la décision n° 2022-175C du 29 septembre 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel relatifs à la mise en œuvre et l’utilisation du service de messagerie électronique  » Gmail  » et tout traitement, y compris publicitaire, lié auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;

Vu la décision n° 2023-103C du 19 avril 2023 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements relatifs aux traceurs lus et déposés sur le terminal des personnes connectées à un compte Google lors de leur navigation auprès de tout organisme susceptible d’être concerné par leur mise en œuvre ;

Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés du 30 avril 2024 portant désignation d’un rapporteur devant la formation restreinte ;

Vu le rapport de Mme Anne DEBET, commissaire rapporteure, signifié aux sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 25 juillet 2024 ;

Vu les observations écrites versées par le Conseil des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 4 octobre 2024 ;

Vu la réponse de la rapporteure à ces observations, signifiée aux sociétés le 25 novembre 2024 ;

Vu les observations écrites versées par le Conseil des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 29 janvier 2025 et le 28 avril 2025 ;

Vu la clôture de l’instruction, signifiée aux sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED le 26 mai 2025 ;

Vu les observations orales formulées lors de la séance de la formation restreinte du 26 juin 2025 ;

Vu les autres pièces du dossier ;

Étaient présents, lors de la séance de la formation restreinte du 26 juin 2025 :

– Mme Anne DEBET, commissaire, entendue en son rapport ;

En qualité de représentants des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED :

• […]

Les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED ayant été informées, à titre conservatoire et au regard des implications encore incertaines de la jurisprudence du Conseil constitutionnel en cette matière, de leur droit de garder le silence sur les faits qui leur étaient reprochés, et celles-ci ayant eu la parole en dernier ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La société GOOGLE LLC est une société à responsabilité limitée ayant son siège social en Californie (États-Unis). Depuis sa création en 1998, elle a développé de nombreux services à destination des particuliers et des entreprises, tels que le moteur de recherche Google Search, la messagerie électronique Gmail, le service de cartographie Google Maps ou encore la plateforme de vidéos YouTube. Elle possède plus de 70 bureaux implantés dans une cinquantaine de pays et employait plus de […] personnes en 2024. Depuis août 2015, elle est une filiale détenue à 100% par la société ALPHABET Inc., maison-mère du groupe GOOGLE.

2. Dans le cadre de la présente décision, le groupe GOOGLE s’entend comme étant formé par la société GOOGLE LLC et l’ensemble de ses filiales, dont la société GOOGLE IRELAND LIMITED (ci-après la société  » GIL « ) qui officie en tant qu’entité en charge de la gestion des produits Google dans l’Espace économique européen (ci-après  » EEE « ) et en Suisse, et la société GOOGLE France, établissement français du groupe et dont le siège social est situé à Paris (France).

3. En 2024, la société ALPHABET Inc. a réalisé un chiffre d’affaires de 350 milliards de dollars et plus de 100 milliards de dollars de bénéfice. En 2023, son chiffre d’affaires était de plus de 307 milliards de dollars et celui de la société GOOGLE LLC de plus de 305 milliards de dollars.

4. La société GOOGLE IRELAND LIMITED a réalisé en 2022 un chiffre d’affaires de plus de 72,6 milliards d’euros et de plus de 64,8 milliards d’euros en 2021.

5. La société GOOGLE France a réalisé en 2023 un chiffre d’affaire de plus de […] et de plus de […] en 2022.

6. Créée en 2004, la messagerie électronique Gmail est un service gratuit dont l’utilisation nécessite au préalable la création d’un compte Google. La création d’un compte Google permet d’accéder à de nombreux produits Google, tels que Gmail, Google Ads, Youtube etc.. Entre le 1er avril 2021 et le 26 octobre 2023, […] comptes Google ont été créés par des utilisateurs résidant en France au moment de leur inscription.

7. Le 24 août 2022, la Commission nationale de l’informatique et des libertés (ci-après  » la CNIL  » ou  » la Commission « ) a été saisie d’une plainte émanant de l’organisation None Of Your Business (ci-après  » NOYB « ), mandatée pour le compte de trois plaignants indiquant recevoir des courriels publicitaires dans l’onglet  » Promotions  » de leur messagerie électronique Gmail sans consentement.

8. Le groupe GOOGLE a fait l’objet de deux procédures de contrôle distinctes, visant à vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (ci-après  » la loi Informatique et Libertés  » ou  » loi du 6 janvier 1978 modifiée « ) et des autres dispositions relatives à la protection des données personnelles prévues par les textes législatifs et réglementaires, le droit de l’Union européenne et les engagements internationaux de la France.

9. D’une part, en application de la décision n° 2022-175C du 29 septembre 2022 de la présidente de la CNIL, plusieurs contrôles ont été effectués afin de vérifier la conformité des traitements de données à caractère personnel relatifs à la mise en œuvre et l’utilisation du service de messagerie électronique Gmail et de tout traitement, y compris publicitaire, lié.

10. Tout d’abord, une délégation a procédé le 20 octobre 2022 à une mission de contrôle en ligne qui s’est terminée le 4 novembre 2022.

11. Ensuite, les 29 novembre et 6 décembre 2022, deux contrôles sur place ont été réalisés dans les locaux de la société GOOGLE France. Des éléments complémentaires ont été adressés à la délégation par le conseil des sociétés les 9 et 16 décembre 2022 et les 18 janvier, 11 avril et 22 mai 2023.

12. Enfin, la délégation a procédé à un nouveau contrôle sur place le 5 septembre 2023 dans les locaux de la société GOOGLE France. Le 26 septembre 2023, le conseil des sociétés a adressé à la délégation des éléments complémentaires.

13. D’autre part, en application de la décision n° 2023-103C du 19 avril 2023 de la présidente de la CNIL, la délégation a procédé le 20 avril 2023 à un contrôle en ligne des traitements relatifs aux traceurs lus et déposés sur le terminal des personnes connectées à un compte Google depuis le site web google.fr, lors de leur navigation sur YouTube, Google Maps et Google Search.

14. Le 14 novembre 2023, le conseil des sociétés a adressé des éléments complémentaires en réponse au questionnaire que lui avait adressé la délégation, portant sur Google Search, YouTube, Google Maps ainsi que sur le parcours de création de compte et la personnalisation des annonces.

15. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 30 avril 2024, désigné Mme Anne DEBET en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.

16. Le 25 juillet 2024, à l’issue de son instruction, la rapporteure a fait signifier aux sociétés GOOGLE LLC et GIL (ci-après dénommées ensemble  » les sociétés « ) un rapport détaillant les manquements aux articles 82 de la loi Informatique et Libertés et L. 34-5 du code des postes et des communications électroniques (ci-après,  » le CPCE « ) qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer à l’encontre des sociétés une amende administrative, ainsi qu’une injonction de mettre en conformité ses pratiques avec les dispositions susvisées, assortie d’une astreinte. Il proposait également que cette décision soit rendue publique mais qu’il ne soit plus possible d’identifier nommément les sociétés à l’expiration d’un délai de deux ans à compter de sa publication.

17. Le 4 octobre 2024, les sociétés ont produit des observations en réponse au rapport de sanction.

18. La rapporteure a répondu à ces observations le 25 novembre 2024.

19. Le 17 janvier 2025 les sociétés ont sollicité que soit ordonné un sursis à statuer dans l’attente de la décision du Conseil constitutionnel sur la question prioritaire de constitutionnalité relative à l’article L. 621-12 alinéa 1er du code monétaire et financier, renvoyée par le Conseil d’Etat le 27 décembre 2024 et portant sur la nécessité de notifier le droit de se taire lors d’une visite domiciliaire menée par les enquêteurs de l’Autorité des marchés financiers. Par courrier du 30 janvier 2025, le président de la formation restreinte a indiqué en réponse ne pas faire droit à cette demande.

20. Le 29 janvier 2025 et le 28 avril 2025, les sociétés ont produit de nouvelles observations en réponse à celles de la rapporteure.

21. Le 26 mai 2025, la rapporteure a, en application de l’article 40-III du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés (ci-après,  » le décret du 29 mai 2019 « ), informé les sociétés que l’instruction était close.

22. Le 6 juin 2025, les sociétés ont été informées que le dossier était inscrit à l’ordre du jour de la formation restreinte du 26 juin 2025.

23. La rapporteure et les sociétés ont présenté des observations orales lors de la séance de la formation restreinte.

II. MOTIFS DE LA DECISION

A. Sur la compétence de la CNIL

1. Sur la compétence matérielle de la CNIL et l’applicabilité du mécanisme de  » guichet unique  » prévu par le RGPD

24. L’article 5, paragraphe 3, de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (ci-après  » la directive ePrivacy « ), relatif au stockage ou à l’accès à des informations déjà stockées dans l’équipement terminal d’un abonné ou d’un utilisateur, a été transposé en droit interne à l’article 82 de la loi Informatique et Libertés, au sein du chapitre IV  » Droits et obligations propres au traitements dans le secteur des communications électroniques  » de cette loi.

25. L’article 13, paragraphe 1, de cette même directive, relatif à la prospection électronique a été transposé en droit interne à l’article L. 34-5 du code des postes et des communications électroniques (ci-après  » CPCE « ), qui prévoit en son alinéa 6 que  » La Commission nationale de l’informatique et des libertés veille, pour ce qui concerne la prospection directe utilisant les coordonnées d’un abonné ou d’une personne physique, au respect des dispositions du présent article en utilisant les compétences qui lui sont reconnues par la loi n°78-17 du 6 janvier 1978 précitée. « .

26. Aux termes de l’article 16 de la loi Informatique et Libertés,  » la formation restreinte prend les mesures et prononce les sanctions à l’encontre des responsables de traitements ou des sous-traitants qui ne respectent pas les obligations découlant […] de la présente loi « . Au terme de l’article 20 paragraphe IV de cette même loi,  » lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant […] de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut […] saisir la formation restreinte […] ».

27. La rapporteure considère que la CNIL est matériellement compétente en application de ces dispositions pour contrôler et, le cas échéant, sanctionner les opérations de prospection électronique et les opérations d’accès ou d’inscription d’informations mises en œuvre par les sociétés GOOGLE LLC et GIL qui relèvent des dispositions précitées.

28. En défense, les sociétés GOOGLE LLC et GIL considèrent que la création d’un compte Google est un traitement de données à caractère personnel transfrontalier, qui rentre dans le champ d’application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après  » le RGPD « ) et pour lequel l’autorité de contrôle chef de file – en vertu de l’article 56 du RGPD – compétente pour mettre en œuvre le mécanisme de coopération entre autorités de contrôle prévu au chapitre VII de ce Règlement, est l’autorité de protection des données irlandaise, la Data Protection Commission (ci-après  » la DPC « ). […]

29. En premier lieu, la formation restreinte rappelle que dès lors que les traitements objets du contrôle sont effectués dans le cadre de la fourniture de services de communications électroniques accessibles au public par le biais d’un réseau public de communications électroniques proposé au sein de l’Union européenne, ils entrent dans le champ d’application matériel de la directive ePrivacy.

30. Elle relève qu’il ressort des dispositions précitées que le législateur français a chargé la CNIL de veiller au respect, par les responsables de traitement, des dispositions de la directive ePrivacy transposées à l’article 82 de la loi Informatique et Libertés et à l’article L. 34-5 du CPCE, en lui confiant notamment le pouvoir de sanctionner toute méconnaissance de ces articles.

31. La formation restreinte rappelle ensuite que le Conseil d’État a, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, confirmé que le contrôle des opérations d’accès ou d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, relève de la compétence de la CNIL et que le système du guichet unique prévu par le RGPD n’est pas applicable :  » il n’a pas été prévu l’application du mécanisme dit du  » guichet unique  » applicable aux traitements transfrontaliers, défini à l’article 56 de ce règlement, pour les mesures de mise en œuvre et de contrôle de la directive 2002/58/CE du 12 juillet 2002, qui relèvent de la compétence des autorités nationales de contrôle en vertu de l’article 15 bis de cette directive. Il s’ensuit que, pour ce qui concerne le contrôle des opérations d’accès et d’inscription d’informations dans les terminaux des utilisateurs en France d’un service de communications électroniques, même procédant d’un traitement transfrontalier, les mesures de contrôle de l’application des dispositions ayant transposé les objectifs de la directive 2002/58/CE relèvent de la compétence conférée à la CNIL par la loi du 6 janvier 1978 […]  » (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil). Le Conseil d’État a réaffirmé cette position dans un arrêt du 27 juin 2022 (CE, 10ème et 9ème chambres réunies, 27 juin 2022, société AMAZON EUROPE CORE, n° 451423, aux tables).

32. La formation restreinte relève que la position du Conseil d’État s’agissant de l’absence de mécanisme de guichet unique concerne l’ensemble des mesures de mise en œuvre et de contrôle de la directive ePrivacy, ce qui comprend donc – outre l’article 5, paragraphe 3, de ladite directive – les obligations relatives à la prospection électronique issues de l’article 13, paragraphe 1, de ladite directive.

33. En second lieu, la formation restreinte rappelle que le principe non bis in idem, notamment garanti par l’article 50 de la Charte des droits fondamentaux de l’Union européenne, a vocation à s’appliquer dans l’hypothèse où une personne a déjà été condamnée ou acquittée par un jugement définitif, pour des faits relevant de la même infraction (CJUE, 7 janvier 2004, Aalborg Portland e.a./Commission, affaire C 204/00 P, § 338).

34. Elle relève que les sociétés ont mis en place une interface – les parcours de création de compte Google – à partir de laquelle de multiples traitements de données à caractère personnel peuvent être mis en œuvre, en l’espèce, des traitements de données encadrés par le RPGD et des traitements encadrés par la directive ePrivacy.

35. Pour autant, si ce parcours de création de compte Google constitue une même porte d’entrée pour plusieurs traitements, ceux-ci sont bien distincts car ils ont des objets très différents (inscription d’informations sur le terminal utilisateur – ci-après  » cookies  » – enregistrement des recherches web ou encore de l’historique YouTube) et ils sont encadrés par des textes différents et des règles de compétences distinctes qui permettent de faire obstacle à la possibilité que les sociétés puissent être sanctionnées plusieurs fois pour des faits identiques entrant dans un même champ de compétence matériel et territorial.

36. En effet, comme rappelé aux points 29 à 32, la formation restreinte relève, d’une part, que la CNIL dispose d’une compétence exclusive pour sanctionner le non-respect par les sociétés des dispositions de l’article 82 de la loi Informatique et Libertés et de l’article L-34-5 du CPCE en ce qui concerne les utilisateurs situés en France et que, d’autre part, elle n’est pas compétente pour sanctionner d’éventuels manquements aux obligations des sociétés au RGPD qui concerneraient un traitement de données transfrontalier.

37. […] Au surplus, il ne ressort pas des éléments fournis, que les sociétés GOOGLE LLC et GIL aient déjà été définitivement condamnées ou acquittées par quelque autorité de contrôle nationale ou juridiction que ce soit, par une décision ou un jugement définitif, pour les manquements visés dans la présente procédure. En conséquence, la formation restreinte considère que le principe non bis in idem n’est pas méconnu.

38. Il résulte de ce qui précède que le mécanisme de guichet unique prévu par le RGPD n’est pas applicable à la présente procédure et que la CNIL est compétente pour contrôler et sanctionner les traitements mis en œuvre par les sociétés relevant du champ d’application de la directive ePrivacy, dans la mesure où ils se rattachent à sa compétence territoriale.

2. Sur la compétence territoriale de la CNIL

39. La règle d’application territoriale des exigences énoncées aux articles 82 de la loi Informatique et Libertés et L. 34-5 du CPCE est fixée à l’article 3, paragraphe I de la loi Informatique et Libertés qui dispose  » sans préjudice, en ce qui concerne les traitements entrant dans le champ du règlement (UE) 2016/679 du 27 avril 2016, des critères prévus par l’article 3 de ce règlement, l’ensemble des dispositions de la présente loi s’appliquent aux traitements de donnée à caractère personnel effectués dans le cadre des activités d’un établissement d’un responsable du traitement […] sur le territoire français, que le traitement ait lieu ou non en France « .

40. La rapporteure considère que la CNIL est territorialement compétente en application de ces dispositions dès lors que les traitements objets de la présente procédure, consistant en des opérations de prospection électronique et des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs résidant en France lors de l’utilisation des services Google, notamment à des fins publicitaires, sont effectués dans le  » cadre des activités  » de la société GOOGLE France, qui constitue  » l’établissement  » sur le territoire français du groupe GOOGLE, en charge de la promotion et de la commercialisation des produits Google et de leurs solutions publicitaire en France.

41. En premier lieu, s’agissant de l’existence d’un  » établissement du responsable de traitement sur le territoire français « , la formation restreinte rappelle que la Cour de Justice de l’Union Européenne (ci-après  » la CJUE « ) a considéré de façon constante que la notion d’établissement devait être appréciée de façon souple et qu’à cette fin, il convenait d’évaluer tant le degré de stabilité de l’installation que la réalité de l’exercice des activités dans un État membre, en tenant compte de la nature spécifique des activités économiques et des prestations de services en question. La Cour a précisé que  » la notion d’  » établissement « , au sens de la directive 95/46, s’étend à toute activité réelle et effective, même minime, exercée au moyen d’une installation stable « , le critère de stabilité de l’installation étant examiné au regard de la présence de  » moyens humains et techniques nécessaires à la fourniture de services concrets en question  » (CJUE, 1er octobre 2015, Weltimmo, C 230/14, points 30 et 31).

42. En l’occurrence, la formation restreinte relève tout d’abord que la société GOOGLE France, immatriculée en France depuis le 14 août 2002, est le siège de la filiale française de la société GOOGLE LLC. Elle dispose de locaux situés au 8 rue de Londres à Paris (75009) et emploie environ […]. La formation restreinte relève que les statuts de la société  » mis à jour suite à la modification de l’article 2 avec effet à compter du 1er novembre 2022 (suivant Décisions de l’associé Unique du 28 octobre 2022) « , précisent qu’elle a pour objet en France et/ou à l’étranger notamment  » la fourniture de tous services et/ou conseils relatifs aux logiciels, au réseau internet, aux réseaux télématiques ou en ligne, et en particulier la fourniture de services et/ou conseils relatifs aux logiciels, au réseau internet, aux réseaux télématiques ou en ligne, notamment l’intermédiation en matière de vente de publicité en ligne, la promotion sous toutes ses formes de la publicité en ligne, la promotion directe de produits et services et la mise en œuvre d’infrastructures techniques ; l’achat et la vente d’espaces publicitaires, ainsi que tout autre produit ou service, en qualité de revendeur ou par tout autre moyen ; « . La formation restreinte relève ensuite que, dans sa décision Société GOOGLE LLC et société GOOGLE IRELAND LIMITED du 28 janvier 2022, le Conseil d’État a confirmé que la société GOOGLE FRANCE constituait un établissement des sociétés GOOGLE LLC et GIL au sens de l’article 3 de la loi Informatique et Libertés.

43. En deuxième lieu, s’agissant de l’existence de traitements effectués  » dans le cadre des activités  » de cet établissement, la formation restreinte relève que, concernant le traitement relatif aux opérations d’accès et/ou d’inscription d’informations dans le terminal des utilisateurs situés en France lors de l’utilisation des services de Google elle a démontré dans sa délibération n° SAN-2020-012 du 7 décembre 2020 que les sociétés GOOGLE LLC et GIL disposent d’un  » établissement  » sur le territoire français et que les opérations d’accès ou d’inscription d’informations en cause dans sa délibération étaient bien effectuées  » dans le cadre des activités  » de cet établissement dès lors que ces opérations poursuivent des finalités publicitaires dans le cadre desquelles intervient notamment la société GOOGLE France, établissement situé en France, chargé de la promotion et de la commercialisation des produits Google et de leurs solutions publicitaires en France. La formation restreinte relève que son analyse n’a pas été contestée par les sociétés lors de la présente procédure ni précédemment devant le Conseil d’État, ce dernier ayant par ailleurs confirmé en tout point la décision rendue par la CNIL (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil).

44. En troisième lieu, s’agissant du traitement relatif à la prospection électronique sur le service Gmail, la formation restreinte relève qu’il ressort des opérations de contrôle que la société GOOGLE France accompagne notamment les petites et moyennes entreprises en France  » à travers le développement d’outils de collaboration, de solutions publicitaires ou pour leur donner les clés de compréhension de leurs marché[s] et de leurs consommateurs « . La formation restreinte relève qu’il ressort également du procès-verbal du contrôle sur place réalisé le 29 novembre 2022 que  » la société GOOGLE FRANCE a une activité de conseil et de marketing dans le cadre d’un contrat de prestation de service passé avec GOOGLE IRELAND LIMITED  » et  » fait la promotion des produits et services  » Google  » en France et est en charge des relations avec les pouvoirs publics français « . Or, la formation restreinte relève qu’il ressort explicitement des  » Règles de confidentialité et conditions d’utilisation  » de Google que la messagerie Gmail fait partie des  » services Google  » :  » Un compte Google vous permet d’accéder à toute une gamme de services Google, comme Gmail et Google Drive. « . De plus, au sein de la société GOOGLE France, une équipe  » Ads  » est chargée de l’accompagnement des sociétés françaises dans la mise en œuvre de leurs campagnes de publicité via  » Google Ads  » qui est la plate-forme de création et de gestion des campagnes publicitaires sur les services Google tels que Gmail, Discover ou encore Youtube. La formation restreinte relève ainsi que si un annonceur rencontre un problème en lien avec l’affichage de ses publicités, il peut faire remonter le problème à un point de contact au sein de la société GOOGLE France, qui se charge de le communiquer à la société GIL. L’équipe  » Ads  » au sein de la société GOOGLE France est répartie selon les secteurs d’activité des annonceurs et est composée de […] personnes travaillant et résidant en France.

45. Dès lors, la formation restreinte relève que les traitements en cause – consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs des services de Google résidant en France, notamment à des fins publicitaires et relatifs à la prospection électronique sur le service Gmail – sont effectués dans le cadre des activités de la société GOOGLE FRANCE sur le territoire français, laquelle est chargée de la promotion et de la commercialisation des produits et services Google et de leurs solutions publicitaires.

46. Il résulte de ce qui précède que la loi française est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction concernant les traitements en cause qui relèvent du champ d’application de la directive ePrivacy.

B. Sur les griefs tirés de l’irrégularité de la procédure

1. Sur la régularité de la collecte d’informations

47. Les sociétés considèrent d’abord que la CNIL a commis un abus de droit en outrepassant sa compétence territoriale lors des contrôles sur place réalisés dans les locaux de la société GOOGLE France les 6 décembre 2022 et 5 septembre 2023, durant lesquels des auditions par visioconférence des salariés de GIL basés en Irlande ont été menées. Les sociétés considèrent que de telles auditions outrepassaient la compétence territoriale de la CNIL. Ensuite, les sociétés considèrent qu’en entendant les salariés de GIL basés en Irlande, la CNIL n’a pas respecté les garanties et les formes prévues par le décret d’application de la loi Informatique et Libertés – soit la convocation préalable de 8 jours avant l’audition de l’organisme et la communication de l’information selon laquelle l’organisme dispose du droit d’être assisté par un conseil.

48. En premier lieu, la formation restreinte relève qu’elle a démontré aux points 24 à 46 de la présente délibération que la CNIL est compétente pour contrôler le respect, par les sociétés GOOGLE LLC et GIL, des exigences prévues à l’article 82 de la loi Informatique et Libertés et à l’article L. 34-5 du CPCE dans le cadre des traitements en cause, quand bien même ces sociétés ne se trouvent pas sur le territoire français. Elle relève que ni la loi Informatique et Libertés, ni la directive ePrivacy ne limitent la possibilité pour la CNIL de diligenter des enquêtes auprès des seuls établissements des responsables de traitement situés sur le territoire français.

[… passage central omis : décision trop longue pour une cellule …]

110.  » C’est pourquoi la publicité comportementale est considérée comme une forme de publicité particulièrement intrusive, dans la mesure où elle peut fournir aux responsables du traitement une vue très détaillée de la vie personnelle des utilisateurs. En outre, comme le CEPD l’a rappelé dans ses lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux, elle présente des risques importants pour les libertés et droits fondamentaux des personnes concernées, y compris la possibilité de discrimination et d’exclusion et la manipulation éventuelle des utilisateurs.  » (§21).

111. En l’espèce, la rapporteure relève qu’il ressort des constatations réalisées par la délégation lors des opérations de contrôle sur le site web google.fr que lors de la création d’un compte Google, deux parcours sont présentés à l’utilisateur – intitulés  » personnalisation express (1 étape)  » et  » personnalisation manuelle (5 étapes)  » – à l’issue desquels sont déposés des cookies alimentant deux modèles de publicités – générique ou personnalisée.

112. Elle relève qu’à l’occasion du premier contrôle, le mécanisme de recueil du consentement mis en place lors de la création d’un compte Google ne permettait pas aux utilisateurs de refuser le dépôt et/ou la lecture des cookies liés à la personnalisation de la publicité aussi facilement que de les accepter et d’opter pour des cookies alimentant la publicité générique lorsque l’utilisateur choisissait la  » personnalisation express (1 étape) « . Elle considère que le consentement ainsi donné ne pouvait pas être qualifié de libre.

113. Elle souligne que ce mécanisme de recueil du consentement, mis en place par les sociétés depuis le 15 décembre 2020, a été modifié en octobre 2023, permettant désormais aux utilisateurs de refuser le dépôt et/ou la lecture de cookies liés à la personnalisation de la publicité aussi facilement que de les accepter depuis le parcours intitulé  » personnalisation express (1 étape)  » désormais intitulé  » sélection express (1 étape) « . Elle considère néanmoins que l’utilisateur n’est toujours pas suffisamment informé de ce que l’inscription de certains cookies, quelle que soit leur finalité, est indissociable de la fourniture des services Google de sorte que le consentement donné, qui n’est pas éclairé, n’est pas valide.

114. En défense, les sociétés soutiennent d’abord recueillir valablement le consentement des utilisateurs pour le dépôt et/ou la lecture de cookies publicitaires sur leur terminal, grâce à la dernière étape du parcours de création de compte Google à partir de laquelle les utilisateurs sont invités à consentir à l’utilisation de cookies pour les finalités qui leur sont présentées. Ensuite, elles soutiennent que le parcours de création de compte Google a été mis en place conformément à l’avis n° 08/2024 du CEPD du 17 avril 2024 sur la validité du consentement dans le cadre des modèles  » consentir ou payer  » qui plaide en faveur du recours à des modèles moins intrusifs pour la vie privée des utilisateurs que les paywalls et prévoit l’exemple d’une alternative équivalente qui n’impl