La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président et M. Didier KLING, membre ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;

Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;

Vu le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;

Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;

Vu la délibération n° SAN-2025-004 du 1er septembre 2025 adoptée par la formation restreinte à l’encontre des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED ;

Vu les éléments transmis par les sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED les 11 décembre 2025 et le 15 avril 2026 ;

Vu les autres pièces du dossier ;

Après en avoir délibéré lors de la séance du 17 septembre 2026, a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. Par décision du 1er septembre 2025, signifiée aux sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED (ci-après,  » les sociétés  » ou  » GOOGLE « ) respectivement les 2 et 3 septembre 2025, la formation restreinte a enjoint à ces dernières :

– s’agissant du manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, de fournir une information suffisante pour permettre aux utilisateurs situés en France de comprendre que des cookies poursuivant une finalité publicitaire seront nécessairement déposés lors de la création d’un compte Google ;

– s’agissant du manquement à l’article L. 34-5 du code des postes et des communications électroniques, de recueillir le consentement préalable des utilisateurs situés en France, avant toute opération de prospection électronique sur leur compte Gmail prenant la forme d’annonces publicitaires insérées entre les courriels ;

Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de 6 mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.

2. Les 13 et 26 janvier 2026, les sociétés ont adressé à la CNIL des courriers par lesquels elles présentaient les changements qu’elles envisageaient de déployer sur les parcours de création de compte Google et sur l’interface de la messagerie Gmail, auxquels les services de la CNIL ont répondu le 25 février 2026.

3. Le 15 avril 2026, les sociétés ont répondu au courrier des services de la CNIL et ont transmis des éléments à la formation restreinte en vue de justifier de leur mise en conformité.

II. MOTIFS DE LA DECISION

4. En premier lieu, s’agissant du manquement à l’article L. 34-5 du code des postes et des communications électroniques, la formation restreinte relève que sur les versions web et mobile de la messagerie Gmail, les annonces sont désormais épinglées en bas des onglets  » Promotions  » et  » Réseaux sociaux  » de la boite de réception Gmail et sont fixes, de sorte qu’il est possible de faire défiler les courriels reçus dans la boite de réception sans que les annonces ne bougent.

5. De plus, les annonces ne sont pas de la même couleur que les courriels et présentent la mention  » Annonce  » à l’endroit où est indiqué le nom de l’expéditeur pour les courriels. Il est également possible de supprimer ces annonces en cliquant sur une icône sur la version web, et en glissant dessus sur la version mobile. Lorsque l’utilisateur supprime l’annonce, aucune autre ne réapparait durant la session. De nouvelles annonces ne lui sont présentées que lorsqu’il se reconnecte.

6. En deuxième lieu, s’agissant du manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la formation restreinte relève que les sociétés ont complété les deux parcours utilisateurs permettant de créer un compte Google (parcours en 1 étape ou en 4 étapes) en ajoutant notamment des informations relatives au conditionnement de l’accès au service au dépôt de cookies.

7. En particulier, les sociétés ont ajouté à l’étape dite de  » la fourche  » (celle où l’utilisateur doit choisir entre les deux parcours) la phrase suivante :  » Les annonces nous permettent de proposer la plupart de nos services gratuitement. Pour créer un compte Google, vous devez accepter l’utilisation de cookies et de technologies similaires, y compris à des fins publicitaires. « . Elles ont également ajouté dans le parcours en 1 étape des mentions renseignant sur les choix possibles en matière d’annonces telles que :  » Si vous choisissez de refuser, vous verrez toujours des annonces, mais elles seront génériques et basées sur des facteurs contextuels.  » […]  » Si vous refusez la publicité personnalisée, vous continuerez à voir des annonces génériques […] que vous optiez pour des annonces personnalisées ou génériques, nous utilisons des cookies pour vous présenter ces annonces et en mesurer l’efficacité  » […]  » Si vous choisissez d’accepter, vos données seront enregistrées et utilisées pour vous proposer des expériences et des publicités plus personnalisées. Si vous choisissez de refuser, ces paramètres seront désactivés et nous vous proposerons des publicités en fonction de facteurs contextuels. « .

8. Enfin, la formation restreinte relève que la terminologie employée dans le parcours en 1 étape a été modifiée de manière à ce que les deux types de publicités soient présentés de façon plus équilibrée. Par exemple, dans le parcours en 1 étape, des informations sur les annonces génériques ont été ajoutées à l’écran  » Sélectionnez vos paramètres « , là où n’en figurait aucune au jour de la délibération. De la même façon, dans le parcours en 4 étapes, une étape a été renommée de manière plus neutre (son titre étant :  » Pour contrôler les annonces, sélectionnez votre expérience publicitaire « , au lieu auparavant de :  » Activer la personnalisation des annonces pour voir des annonces plus adaptées « ).

9. La formation restreinte considère qu’au regard du périmètre de l’injonction, laquelle sollicitait un renforcement de l’information fournie aux utilisateurs afin de leur permettre de comprendre que des cookies poursuivant une finalité publicitaire seront nécessairement déposés lors de la création d’un compte Google, les sociétés ont satisfait à l’injonction dans le délai imparti.

10. En dernier lieu, la formation restreinte observe toutefois que l’exécution de cette injonction ne préjuge pas de la conformité de l’entièreté des parcours de création de compte, l’injonction ne portant que sur un point spécifique. Elle rappelle que la conformité des parcours doit s’apprécier également au regard de la clarté des informations dispensées et de l’intelligibilité des écrans qui sont successivement présentés à l’utilisateur.

11. Or, la formation restreinte observe tout d’abord que le parcours en 1 étape tel que modifié par les sociétés est désormais composé de 4 écrans alors que celui qui avait été présenté à la formation restreinte dans le cadre de la procédure contradictoire ne comportait que 2 écrans. L’ajout de nouveaux écrans dans le parcours censé être le plus rapide, rend celui-ci plus complexe et moins intelligible pour l’utilisateur. En outre, les informations sont disséminées au cours du parcours, au milieu d’autres informations portant sur d’autres aspects du traitement, et certains choix manquent encore de clarté pour l’utilisateur, comme celui ouvert par l’option  » tout refuser  » (qui englobe le paramétrage des 3 paramètres des Activité sur le web, Historique You Tube et Annonces personnalisées).

12. Elle souligne également à cet égard que, malgré les modifications apportées par les sociétés, il n’est toujours pas possible pour l’utilisateur ayant opté pour le parcours en 1 étape de choisir activement la publicité générique, c’est-à-dire de le faire en cochant une case par exemple. Le choix de la publicité générique ne peut se faire qu’en refusant la publicité personnalisée.

13. Enfin, la formation restreinte relève que l’étape  » Accepter les cookies « , qui contient un nombre important d’informations sur les finalités des cookies, apparait tardivement dans les deux parcours, à un moment où l’utilisateur aura déjà exprimé son choix en matière de cookies. L’affichage tardif de ces informations nuit ainsi à l’intelligibilité globale des parcours.

PAR CES MOTIFS

La formation restreinte de la CNIL, après en avoir délibéré, décide :

– de dire n’y avoir lieu à liquidation de l’astreinte ;

– de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément les sociétés à compter du 4 septembre 2027

Le président

Philippe-Pierre Cabourdin