Le 14 octobre 2026, la CNIL a annoncé la clôture de l’injonction prononcée contre Google en septembre 2025. Par sa délibération SAN-2026-014 du 23 septembre 2026, la formation restreinte estime que l’entreprise a satisfait à ses demandes dans le délai fixé. L’astreinte de 100 000 euros par jour n’a donc pas couru. Le dossier portait sur deux sujets que beaucoup d’organismes rencontrent à plus petite échelle : les publicités dans une messagerie, qui peuvent relever des règles de prospection par courrier électronique, et les cookies déposés à la création d’un compte.
Le point de départ : 325 millions d’euros en septembre 2025
Le 1er septembre 2025 (délibération SAN-2025-004), la CNIL a sanctionné GOOGLE LLC et GOOGLE IRELAND LIMITED d’une amende totale de 325 millions d’euros. Elle leur a enjoint, sous six mois, de corriger deux pratiques. D’une part, informer clairement les utilisateurs situés en France que créer un compte Google entraîne nécessairement le dépôt de cookies publicitaires. D’autre part, recueillir le consentement des utilisateurs de Gmail avant d’afficher des publicités présentées comme des courriels, glissées entre leurs messages.
D’après le communiqué de clôture de la CNIL, Google a complété le parcours de création de compte pour indiquer que l’ouverture du compte est subordonnée aux cookies publicitaires, en contrepartie d’un service gratuit. Elle a aussi modifié le format des annonces dans Gmail pour les distinguer nettement des vrais courriels. La délibération est disponible sur Légifrance.
Publicités dans une messagerie : quand l’article L.34-5 du CPCE s’applique
L’article L.34-5 du code des postes et des communications électroniques encadre la prospection directe par courrier électronique : envers les particuliers, elle suppose en principe leur consentement préalable. Le raisonnement de la CNIL tient au format. Une annonce qui ressemble à un courriel, placée dans la boîte de réception parmi les messages reçus, est traitée comme de la prospection par courrier électronique. Une fois le format modifié pour la distinguer clairement des messages, la CNIL considère que le consentement n’est plus requis à ce titre.
Le critère est donc concret : l’utilisateur peut-il confondre l’annonce avec un message qui lui est adressé ? Il intéresse tout organisme qui exploite un espace de messagerie, même modeste : messagerie interne d’un portail adhérents, boîte de notifications d’une application, espace usager d’une collectivité, plateforme de formation. Pousser une offre commerciale dans ce flux, sous la même forme que les messages de service, revient à envoyer de la prospection.
Ce que l’organisme doit vérifier sur ses messageries
- Recenser les canaux où l’organisme envoie des contenus aux usagers : courriels, notifications d’application, messagerie d’un espace connecté, SMS.
- Séparer les messages de service (rendez-vous, convocation, facture, information obligatoire) des contenus promotionnels, y compris ceux d’un partenaire.
- Pour les contenus promotionnels destinés à des particuliers, vérifier le consentement préalable ou l’exception client prévue par le texte (produits ou services analogues, possibilité de s’opposer dès la collecte et à chaque envoi).
- Rendre une éventuelle annonce visuellement distincte d’un message reçu : mention claire, emplacement différent, absence d’expéditeur fictif.
- Prévoir un lien de désinscription simple dans chaque envoi promotionnel.
- Inscrire ces envois au registre des traitements, avec la base légale retenue.
Cookies à la création de compte : l’article 82 reste ouvert
Le second volet relève de l’article 82 de la loi Informatique et Libertés, qui impose information et consentement avant le dépôt de traceurs non exemptés. Le modèle retenu par Google lie l’ouverture du compte au dépôt de cookies publicitaires, et l’injonction portait sur l’information donnée à ce sujet.
La CNIL précise que la clôture se limite au périmètre de l’injonction. Elle ne préjuge pas de la conformité de l’ensemble du parcours de création de compte à l’article 82, notamment la clarté des informations et la lisibilité des écrans successifs. L’autorité se réserve de nouveaux contrôles. Le message vaut pour tous : corriger le point visé par une injonction ne vaut pas validation du reste du parcours.
Ce que l’organisme doit vérifier sur ses parcours d’inscription
- Lister les traceurs déposés pendant la création d’un compte et dès la première connexion, sur le site comme dans l’application.
- Pour chaque traceur, documenter sa finalité et l’exemption éventuelle (authentification, sécurité, mesure d’audience exemptée).
- Si l’accès au service dépend de traceurs publicitaires, l’écrire clairement sur l’écran où l’usager décide, sans le renvoyer à une politique de confidentialité.
- Faire relire les écrans d’inscription par une personne étrangère au projet : comprend-elle ce qu’elle accepte ?
- Conserver la preuve du consentement et des versions successives des écrans.
Les collectivités et les organismes du secteur social ou sanitaire monétisent rarement leurs services par la publicité. Ils utilisent pourtant souvent des outils tiers (lettres d’information, plateformes de prise de rendez-vous, solutions d’analyse d’audience) qui peuvent déposer leurs propres traceurs ou insérer des contenus. La page de la CNIL sur les règles applicables aux cookies sert de base pour ce recensement.
Les DPO du réseau DPO FRANCE accompagnent les organismes dans l’audit des traceurs, des parcours d’inscription et des campagnes de prospection. Le logiciel DPO SUITE tient le registre des traitements avec leurs bases juridiques, la liste des prestataires qui déposent des traceurs et les preuves de mise en conformité.
