Andy Garcia · dev freelance
FRENES
Retour au blog
Vie privée & UX

Google clôt une injonction de la CNIL assortie de 100 000 euros par jour. La CNIL critique encore ses écrans d'inscription

19 octobre 2026 8 min de lecture

Le 14 octobre 2026, la CNIL a publié une décision que sa formation restreinte avait prise le 23 septembre : l'injonction attachée à l'amende de 325 millions d'euros infligée à Google LLC et Google Ireland le 1er septembre 2025 est clôturée. Cette injonction donnait six mois à Google pour corriger deux points, sous astreinte de 100 000 euros par jour de retard. La décision conclut qu'il n'y a pas lieu d'en liquider le moindre euro.

L'annonce de la CNIL tient en quelques lignes. Google a modifié ses publicités dans Gmail pour qu'elles soient « clairement distinguables des courriels réels », ce qui signifie que le consentement « n'est plus nécessaire » au titre de la règle française sur la prospection par courrier électronique. Et la création de compte indique désormais que créer un compte exige des cookies publicitaires, « en contrepartie de la gratuité du service ».

La délibération elle-même, SAN-2026-014 sur Légifrance, est plus utile. Elle décrit presque pixel par pixel le design que le régulateur a accepté, puis consacre ses quatre derniers paragraphes à ce qui reste insuffisant.

Ce sujet m'importe pour des raisons pratiques. Je livre des apps iOS et un jeu de stratégie, Doomsday: M.A.D., en développeur indépendant, j'ai construit BidForge pour les petites entreprises françaises, et je suis CTO d'une LegalTech. Ce dossier répond à deux questions qui reviennent dès qu'un produit touche des utilisateurs français : comment un écran d'inscription doit expliquer ce que les gens acceptent, et comment un produit gratuit peut afficher de la publicité. Un régulateur dit rarement ce qui a passé. Celui-ci l'a fait.

Ce que Google devait corriger

L'affaire est partie d'une plainte de l'association NOYB le 24 août 2022. La CNIL a mené des contrôles en 2022 et 2023 et a relevé deux problèmes.

Premier problème : les utilisateurs de Gmail qui avaient activé les fonctions intelligentes triant la boîte de réception en onglets voyaient des publicités en forme de courriels, insérées entre leurs vrais messages dans les onglets Promotions et Réseaux sociaux. S'appuyant sur un arrêt de la Cour de justice de l'UE du 25 novembre 2021, la CNIL a considéré qu'un message promotionnel affiché dans un espace réservé à la messagerie privée, et ressemblant à un vrai courriel, relève de la prospection directe par courrier électronique. Celle-ci exige un consentement préalable au titre de l'article L. 34-5 du code des postes et des communications électroniques. Google avait déjà modifié l'apparence de ces publicités en avril 2023. En 2025, la CNIL a jugé que cela ne suffisait pas : les publicités ne se distinguaient toujours pas clairement des vrais courriels.

Second problème : la création de compte. La CNIL a admis que l'accès à un service puisse être conditionné à des cookies publicitaires, à condition que les utilisateurs comprennent pleinement la valeur, la portée et les conséquences de leur choix. Le parcours de Google ne disait jamais que créer un compte revenait à accepter des cookies publicitaires, donc le consentement n'était pas éclairé.

La CNIL a calé le montant sur l'échelle : plus de 74 millions de comptes en France concernés par le manquement sur les cookies, dont 53 millions avaient vu les publicités. Google LLC a été condamnée à 200 millions d'euros, Google Ireland à 125 millions.

La publicité qui n'a plus besoin du consentement de la prospection par e-mail

Voici ce que décrit la délibération sur les versions web et mobile de Gmail :

  • Les publicités sont désormais fixées en bas des onglets Promotions et Réseaux sociaux, et elles restent fixes : on peut faire défiler ses courriels sans que les publicités bougent.
  • Elles n'ont pas la même couleur que les courriels.
  • Le mot « Annonce » se trouve à l'endroit où apparaît le nom de l'expéditeur pour un courriel.
  • On peut les supprimer, avec une icône sur le web ou un balayage sur mobile. Une fois supprimées, aucune autre publicité n'apparaît pour le reste de la session. De nouvelles ne reviennent qu'à la prochaine connexion.

Deux choses dans cette liste comptent pour quiconque construit un fil. La première : une étiquette seule n'a pas suffi. Les changements de Google en 2023 étaient visuels eux aussi, et ils ont échoué. Ce qui a passé, c'est une combinaison de position, de comportement, de couleur, d'une étiquette placée dans l'emplacement qui identifie normalement l'expéditeur, et d'un rejet qui reste effectif.

La seconde : la portée. La phrase de la CNIL porte sur l'article L. 34-5, la règle sur la prospection par courrier électronique. Elle ne dit rien des cookies servant à choisir ces publicités, qui relèvent d'un autre article. Ma lecture : une publicité distinguable échappe au consentement de la prospection par e-mail, pas à tous les consentements.

La phrase qui a rendu le cookie wall éclairé

À la création de compte, Google a ajouté une phrase à l'étape que la CNIL appelle « la bifurcation », où l'utilisateur choisit l'un des deux parcours d'inscription. Dans ma traduction : « Les publicités nous permettent de proposer gratuitement la plupart de nos services. Pour créer un compte Google, vous devez accepter l'utilisation de cookies et de technologies similaires, y compris à des fins publicitaires. »

Google a aussi ajouté des explications sur les choix. Si tu refuses les publicités personnalisées, tu vois quand même des publicités, génériques, fondées sur des facteurs contextuels, et des cookies servent à afficher et à mesurer les deux types. Et une étape du parcours long a été rebaptisée de façon plus neutre : elle disait « Activez la personnalisation des annonces pour voir des annonces plus pertinentes », et dit maintenant « Pour contrôler les annonces, sélectionnez votre expérience publicitaire » (toujours ma traduction).

L'injonction demandait une meilleure information, et la CNIL a constaté que Google l'avait fournie dans les délais. Rien dans la décision n'exigeait une alternative sans cookies ou payante. C'est la leçon pratique pour un produit français avec une offre gratuite : les cookies publicitaires peuvent être le prix du service, comme la décision de 2025 l'admettait déjà, et ici une phrase claire à la bifurcation, plus des explications sur les options, a suffi à clore l'injonction. Cela n'a pas blanchi le reste du parcours, comme le montre la section suivante.

Ce que la CNIL reproche encore

Vient ensuite la partie que le communiqué ne fait qu'effleurer. La formation restreinte écrit que la clôture de l'injonction ne signifie pas que tout le parcours d'inscription est conforme, et liste ce qui la gêne :

  • Le parcours « en 1 étape », censé être le plus rapide, compte désormais quatre écrans. La version présentée pendant la procédure en comptait deux. Plus d'écrans sur le parcours rapide le rendent plus complexe et moins intelligible.
  • L'information est dispersée dans le parcours, parmi des informations sur d'autres traitements, et certains choix manquent encore de clarté. L'exemple donné est « Tout refuser », qui couvre trois réglages à la fois : l'activité sur le web, l'historique YouTube et les annonces personnalisées.
  • Dans le parcours en 1 étape, un utilisateur ne peut toujours pas choisir activement des publicités génériques, en cochant une case par exemple. On n'accède aux publicités génériques qu'en refusant les personnalisées.
  • L'étape « Accepter les cookies », qui porte une grande quantité d'informations sur les finalités des cookies, apparaît tard dans les deux parcours, après que l'utilisateur a déjà fait un choix sur les cookies.

La CNIL indique se réserver le droit de mener d'autres investigations et, « si nécessaire, de mobiliser toute sa chaîne répressive ».

Elle a déjà employé cette phrase. En mai 2021, Next rapportait que la CNIL avait clôturé l'injonction attachée à l'amende de 100 millions d'euros infligée à Google en décembre 2020, avec la même réserve. Clôturé ne veut pas dire blanchi. Et la clôture couvre l'injonction, pas l'amende : le 9 janvier 2026, MLex rapportait que Google cherchait à faire annuler les 325 millions d'euros.

La chronologie est aussi une leçon

La délibération liste les échanges. La décision de 2025 a été notifiée aux deux sociétés les 2 et 3 septembre 2025. Google a envoyé des éléments le 11 décembre 2025, puis a écrit à la CNIL les 13 et 26 janvier 2026 pour présenter les changements prévus. Les services de la CNIL ont répondu le 25 février. Google a transmis ses preuves le 15 avril. La formation restreinte a délibéré le 17 septembre et décidé le 23 septembre.

Google a montré son design au régulateur avant de le livrer. Une petite entreprise obtient rarement ce va-et-vient. Elle en obtient en revanche le résultat, publié et libre à la lecture : ce qui ressemble le plus à une spécification acceptée dans ce domaine.

Ce que je vérifierais avant de livrer une inscription ou une publicité dans un fil en France

  1. Si quelque chose de promotionnel apparaît là où les utilisateurs lisent leurs propres messages, rends-le sans équivoque par la position, le comportement, la couleur et une étiquette à l'endroit où serait l'expéditeur, et fais en sorte que le rejet reste effectif. Sinon, demande le consentement. Le raisonnement de la CNIL portait sur une boîte mail, mais j'appliquerais le même test à toute liste qui ressemble à des messages.
  2. Si l'offre gratuite est payée par des cookies publicitaires, dis-le en une phrase à la première bifurcation, avant tout choix.
  3. Donne à l'option la moins intrusive son propre bouton ou sa propre case. Ne la rends pas accessible uniquement en refusant l'autre.
  4. Ne regroupe pas des réglages sans rapport sous un seul « Tout refuser » sans dire, sur cet écran, ce qu'il couvre.
  5. Montre les finalités des cookies avant le choix, pas après.
  6. Compte les écrans. Si tu appelles un parcours rapide, la CNIL peut aussi les compter.
  7. Garde des captures datées de chaque version du parcours. Cette décision compare le parcours présenté pendant la procédure à celui livré ensuite, et tu voudras la même trace.

Google a été condamnée à 325 millions d'euros pour une boîte de réception et un parcours d'inscription. Les deux décisions qui disent ce qui a passé, et ce qui ne passe toujours pas, ne coûtent rien à lire.

Sources

Un projet du même genre ?

Je conçois et déploie des produits comme celui-ci. Parlons-en.

Discutons