Andy Garcia · dev freelance
FRENES
Volver al blog
Privacidad y UX

Google cumple un requerimiento francés con 100 000 euros diarios de multa coercitiva. La CNIL sigue criticando sus pantallas de registro

19 de octubre de 2026 8 min de lectura

El 14 de octubre de 2026, la autoridad francesa de protección de datos, la CNIL, publicó una decisión que su comité restringido había tomado el 23 de septiembre: queda cerrado el requerimiento ligado a la multa de 325 millones de euros que impuso a Google LLC y Google Ireland el 1 de septiembre de 2025. Ese requerimiento daba seis meses a Google para corregir dos cosas, con una multa coercitiva de 100 000 euros por día de retraso. La decisión concluye que no hay motivo para cobrar nada de eso.

El anuncio de la CNIL cabe en unas pocas líneas. Google cambió sus anuncios en Gmail para que sean «claramente distinguibles de los correos reales», lo que significa que el consentimiento «ya no es necesario» según la norma francesa sobre prospección por correo electrónico. Y la creación de cuenta ahora dice que crear una cuenta requiere cookies publicitarias, «a cambio de la gratuidad del servicio».

La deliberación en sí, SAN-2026-014 en Légifrance, es más útil. Describe casi píxel por píxel el diseño que aceptó el regulador y dedica sus cuatro últimos párrafos a lo que aún se queda corto.

Me importa por razones prácticas. Publico apps de iOS y un juego de estrategia, Doomsday: M.A.D., como desarrollador independiente, construí BidForge para pequeñas empresas francesas y soy CTO de una LegalTech. Este caso responde a dos preguntas que surgen cuando un producto llega a usuarios franceses: cómo debe explicar una pantalla de registro lo que la gente acepta, y cómo puede un producto gratuito mostrar publicidad. Un regulador rara vez dice qué pasó el examen. Este lo hizo.

Lo que Google tenía que corregir

El caso empezó con una queja del grupo de privacidad NOYB el 24 de agosto de 2022. La CNIL hizo inspecciones en 2022 y 2023 y encontró dos problemas.

Primero, los usuarios de Gmail que activaban las funciones inteligentes que clasifican la bandeja de entrada en pestañas veían anuncios con forma de correo, insertados entre sus mensajes reales en las pestañas Promociones y Social. Apoyándose en una sentencia del Tribunal de Justicia de la UE del 25 de noviembre de 2021, la CNIL consideró que un mensaje promocional mostrado en un espacio reservado al correo privado, y con aspecto de correo real, es prospección directa por correo electrónico. Eso requiere consentimiento previo según el artículo L. 34-5 del código francés de correos y comunicaciones electrónicas. Google ya había cambiado el aspecto de esos anuncios en abril de 2023. En 2025, la CNIL dijo que no bastaba: los anuncios seguían sin distinguirse con claridad de los correos reales.

Segundo, la creación de cuenta. La CNIL aceptó que el acceso a un servicio pueda condicionarse a cookies publicitarias, siempre que los usuarios comprendan plenamente el valor, el alcance y las consecuencias de su elección. El flujo de Google nunca decía que crear una cuenta implicaba aceptar cookies publicitarias, así que el consentimiento no era informado.

La CNIL ajustó el importe a la escala: más de 74 millones de cuentas en Francia afectadas por el incumplimiento de las cookies, de las cuales 53 millones habían visto los anuncios. Google LLC fue multada con 200 millones de euros, Google Ireland con 125 millones.

El anuncio que ya no necesita el consentimiento de la prospección por correo

Esto es lo que describe la deliberación en las versiones web y móvil de Gmail:

  • Los anuncios van ahora fijados al final de las pestañas Promociones y Social, y se quedan fijos: puedes desplazarte por tus correos sin que los anuncios se muevan.
  • No tienen el mismo color que los correos.
  • La palabra «Annonce» (anuncio) está donde aparece el nombre del remitente en un correo.
  • Se pueden eliminar, con un icono en la web o deslizando en el móvil. Una vez eliminado, no aparece ningún otro anuncio durante el resto de la sesión. Los nuevos vuelven solo al iniciar sesión de nuevo.

Dos cosas de esa lista importan a cualquiera que construya un feed. La primera es que una etiqueta sola no bastó. Los cambios de Google en 2023 también fueron visuales, y fracasaron. Lo que pasó es una combinación de posición, comportamiento, color, la etiqueta colocada en el hueco que normalmente identifica al remitente y un descarte que se mantiene.

La segunda es el alcance. La frase de la CNIL trata del artículo L. 34-5, la norma sobre prospección por correo electrónico. No dice nada de las cookies usadas para elegir esos anuncios, que dependen de otro artículo. Mi lectura es que un anuncio distinguible escapa al consentimiento de la prospección por correo, no a todos los consentimientos.

La frase que hizo informado el muro de cookies

En la creación de cuenta, Google añadió una frase en el paso que la CNIL llama «la bifurcación», donde el usuario elige uno de los dos caminos de registro. En mi traducción: «Los anuncios nos permiten ofrecer gratis la mayoría de nuestros servicios. Para crear una cuenta de Google, debes aceptar el uso de cookies y tecnologías similares, también con fines publicitarios».

También añadió explicaciones sobre las opciones. Si rechazas los anuncios personalizados, sigues viendo anuncios, genéricos, basados en factores contextuales, y se usan cookies para mostrar y medir ambos tipos. Y un paso del camino largo se renombró de forma más neutra: antes decía «Activa la personalización de anuncios para ver anuncios más relevantes» y ahora dice «Para controlar los anuncios, selecciona tu experiencia publicitaria» (otra vez mi traducción).

El requerimiento pedía mejor información, y la CNIL constató que Google la proporcionó a tiempo. Nada en la decisión exigía una alternativa sin cookies o de pago. Esa es la lección práctica para un producto francés con nivel gratuito: las cookies publicitarias pueden ser el precio del servicio, como ya admitía la decisión de 2025, y aquí una frase clara en la bifurcación, más explicaciones de las opciones, bastó para cerrar el requerimiento. No dio por bueno el resto del flujo, como muestra la siguiente sección.

Lo que la CNIL todavía reprocha

Viene ahora la parte que el comunicado solo insinúa. El comité escribe que cerrar el requerimiento no significa que todo el flujo de registro sea conforme, y enumera lo que le molesta:

  • El camino «en 1 paso», el que debería ser más rápido, tiene ahora cuatro pantallas. La versión mostrada durante el procedimiento tenía dos. Más pantallas en el camino rápido lo hacen más complejo y menos inteligible.
  • La información está dispersa por el flujo, entre información sobre otros tratamientos, y algunas opciones siguen sin ser claras. El ejemplo dado es «Rechazar todo», que cubre tres ajustes a la vez: la actividad web, el historial de YouTube y los anuncios personalizados.
  • En el camino de 1 paso, un usuario sigue sin poder elegir activamente anuncios genéricos, marcando una casilla por ejemplo. A los anuncios genéricos solo se llega rechazando los personalizados.
  • El paso «Aceptar cookies», que lleva mucha información sobre las finalidades de las cookies, aparece tarde en ambos caminos, cuando el usuario ya ha tomado una decisión sobre las cookies.

La CNIL dice que se reserva el derecho de hacer nuevas investigaciones y, «si es necesario, de movilizar toda su cadena sancionadora».

Ya ha usado esa frase antes. En mayo de 2021, Next informó de que la CNIL había cerrado el requerimiento ligado a la multa de 100 millones de euros que impuso a Google en diciembre de 2020, con la misma reserva. Cerrado no es absuelto. Y el cierre cubre el requerimiento, no la multa: el 9 de enero de 2026, MLex informó de que Google buscaba anular los 325 millones de euros.

La cronología también es una lección

La deliberación enumera los intercambios. La decisión de 2025 se notificó a las dos sociedades el 2 y el 3 de septiembre de 2025. Google envió documentación el 11 de diciembre de 2025 y luego escribió a la CNIL el 13 y el 26 de enero de 2026 presentando los cambios previstos. El personal de la CNIL respondió el 25 de febrero. Google envió sus pruebas el 15 de abril. El comité deliberó el 17 de septiembre y decidió el 23 de septiembre.

Google enseñó su diseño al regulador antes de lanzarlo. Una empresa pequeña rara vez consigue ese ida y vuelta. Sí consigue el resultado, publicado y de lectura libre: lo más parecido a una especificación aceptada que hay en este terreno.

Lo que comprobaría antes de lanzar un registro o un anuncio en un feed en Francia

  1. Si algo promocional aparece donde los usuarios leen sus propios mensajes, hazlo inconfundible por posición, comportamiento, color y una etiqueta donde iría el remitente, y haz que el descarte se mantenga. Si no, pide el consentimiento. El razonamiento de la CNIL se refería a una bandeja de entrada, pero yo aplicaría la misma prueba a cualquier lista que parezca mensajes.
  2. Si el nivel gratuito se paga con cookies publicitarias, dilo en una frase en la primera bifurcación, antes de cualquier elección.
  3. Da a la opción menos intrusiva su propio botón o casilla. No la hagas accesible solo rechazando la otra.
  4. No agrupes ajustes sin relación bajo un único «Rechazar todo» sin decir, en esa pantalla, qué cubre.
  5. Muestra las finalidades de las cookies antes de la elección, no después.
  6. Cuenta las pantallas. Si llamas rápido a un camino, la CNIL puede contarlas también.
  7. Guarda capturas fechadas de cada versión del flujo. Esta decisión compara el flujo mostrado durante el procedimiento con el publicado después, y querrás el mismo registro.

Google fue multada con 325 millones de euros por una bandeja de entrada y un flujo de registro. Las dos decisiones que dicen qué pasó el examen, y qué todavía no, no cuestan nada de leer.

Fuentes

¿Un proyecto del mismo estilo?

Diseño y despliego productos como este. Hablemos.

Hablemos