AgentPublic/cnil huggingface dataset:
45. Dès lors, la formation restreinte relève que les traitements en cause – consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs des services de Google résidant en France, notamment à des fins publicitaires et relatifs à la prospection électronique sur le service Gmail – sont effectués dans le cadre des activités de la société GOOGLE FRANCE sur le territoire français, laquelle est chargée de la promotion et de la commercialisation des produits et services Google et de leurs solutions publicitaires.
46. Il résulte de ce qui précède que la loi française est applicable et que la CNIL est matériellement et territorialement compétente pour exercer ses pouvoirs, y compris celui de prendre une mesure de sanction concernant les traitements en cause qui relèvent du champ d’application de la directive ePrivacy.
B. Sur les griefs tirés de l’irrégularité de la procédure
1. Sur la régularité de la collecte d’informations
47. Les sociétés considèrent d’abord que la CNIL a commis un abus de droit en outrepassant sa compétence territoriale lors des contrôles sur place réalisés dans les locaux de la société GOOGLE France les 6 décembre 2022 et 5 septembre 2023, durant lesquels des auditions par visioconférence des salariés de GIL basés en Irlande ont été menées. Les sociétés considèrent que de telles auditions outrepassaient la compétence territoriale de la CNIL. Ensuite, les sociétés considèrent qu’en entendant les salariés de GIL basés en Irlande, la CNIL n’a pas respecté les garanties et les formes prévues par le décret d’application de la loi Informatique et Libertés – soit la convocation préalable de 8 jours avant l’audition de l’organisme et la communication de l’information selon laquelle l’organisme dispose du droit d’être assisté par un conseil.
48. En premier lieu, la formation restreinte relève qu’elle a démontré aux points 24 à 46 de la présente délibération que la CNIL est compétente pour contrôler le respect, par les sociétés GOOGLE LLC et GIL, des exigences prévues à l’article 82 de la loi Informatique et Libertés et à l’article L. 34-5 du CPCE dans le cadre des traitements en cause, quand bien même ces sociétés ne se trouvent pas sur le territoire français. Elle relève que ni la loi Informatique et Libertés, ni la directive ePrivacy ne limitent la possibilité pour la CNIL de diligenter des enquêtes auprès des seuls établissements des responsables de traitement situés sur le territoire français.
49. Elle relève que la CJUE a confirmé la faculté pour une autorité de contrôle d’exercer ses pouvoirs directement à l’encontre de l’établissement doté du pouvoir décisionnel quand bien même celui-ci ne serait pas situé sur le territoire de l’autorité, dans sa décision Facebook Ireland et autres (CJUE, grande chambre, 15 juin 2021, Facebook Ireland e.a., C 645/19, pt 96). Bien que cette décision ait été rendue dans le cadre de l’interprétation de dispositions relatives au RGPD, la formation restreinte considère que, compte tenu des liens entre les deux textes, les principes qui sont énoncés sont valables à l’égard de la directive ePrivacy. En effet, la formation restreinte rappelle à ce titre que l’article 1er, paragraphe 2 de la directive ePrivacy énonce qu’elle a pour objectif de préciser et compléter les dispositions de la directive 95/46/CE, aujourd’hui remplacée par le RGPD.
50. La formation restreinte relève enfin que l’article 19 de la loi Informatique et Libertés qui prévoit les conditions dans lesquelles sont réalisés les contrôles sur place par la délégation, lui donne compétence pour vérifier la conformité d’opérations de traitement et recueillir tout renseignement et justifications utiles, sans limitation au territoire français.
51. Ainsi, la formation restreinte considère que la délégation de contrôle n’a pas outrepassé sa compétence territoriale en procédant à l’audition des salariés de GIL lors des contrôles qu’elle a réalisés et, dès lors, que l’abus de droit n’est pas caractérisé.
52. En second lieu, la formation restreinte relève que les sociétés contestent les modalités dans lesquelles les informations ont été recueillies lors des opérations de contrôles sur place du 6 décembre 2022 et du 5 septembre 2023.
53. Contrairement à ce que soutiennent les sociétés, la formation restreinte considère tout d’abord que le régime applicable aux auditions sur convocation fixé par l’article 34 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Liberté n’est pas applicable au contrôle du 6 décembre 2022, qui constitue un contrôle sur place, conformément à l’article 31 du décret précité et non un contrôle sur audition.
54. En l’espèce, la formation restreinte relève que, lors du premier contrôle sur place réalisé dans les locaux de la société GOOGLE France le 29 novembre 2022, les salariés de la société GOOGLE France ont indiqué à la délégation, en réponse à certaines questions qui leur étaient posées, que seuls les employés de la société GIL pouvaient répondre à ces questions relatives à la conformité à la législation française de protection des données à caractère personnel en ce qui concerne le service Gmail, le service Discovery et l’affichage de publicité sur le service Gmail. Les employés de la société GIL n’ayant pu être contactés par téléphone le 29 novembre 2022 pour répondre à ces questions, la délégation de contrôle a alors informé les salariés de la société GOOGLE France, et le conseil des sociétés, qu’elle se présenterait à nouveau dans les locaux le 6 décembre 2022 afin de poursuivre ses investigations et constatations, notamment avec des employés de GIL, et qu’ils ne s’y sont pas opposés. Elle considère que le simple fait, pour la délégation, de revenir le 6 décembre 2022 dans les locaux de la société GOOGLE France ne suffit pas à considérer qu’il s’agissait alors d’un contrôle sur audition.
55. Au vu de ce qui précède, la formation restreinte note que la délégation a agi dans le cadre d’un contrôle sur place, conformément aux dispositions de l’article 19 de la loi Informatique et Libertés lui donnant compétence pour recueillir tout renseignement et justifications utiles, sans limitation au territoire français. Elle relève que la loi Informatique et Liberté et le décret d’application précité ne prévoient pas que l’organisme, et par extension que les personnes qui seront interrogées lors du contrôle sur place, doivent en être préalablement informés. Le contrôles du 6 décembre 2022 a donc été mené dans le respect des dispositions applicables.
56. Ensuite, s’agissant du contrôle du 5 septembre 2023 réalisé dans les locaux de la société GOOGLE France, la formation restreinte relève que par courrier du 31 juillet 2023, la délégation de la CNIL avait régulièrement convoqué la société GIL à un contrôle sur audition, en application de l’article 34 du décret précité, au siège de la CNIL et que c’est le conseil de la société GIL qui a sollicité, par courriel du 22 août 2023, que cette audition se déroule exceptionnellement dans les locaux de GOOGLE France, ce que la délégation de la CNIL a accepté. Il ne saurait dès lors être reproché à la CNIL de ne pas avoir respecté les garanties et formes prévues par le décret d’application de la loi Informatique et Libertés, alors que la société GIL a, pour ce contrôle sur audition, été convoquée conformément aux dispositions applicables et que le lieu du contrôle a été modifié à la demande de la société.
57. Enfin, la formation restreinte note que lors des deux contrôles pendant lesquels les salariés de la société GIL ont été entendus par la délégation de contrôles, le 6 décembre 2022 et le 5 septembre 2023, des interprètes et le conseil des sociétés étaient présents.
58. Au regard de l’ensemble de ces éléments, la formation restreinte considère que la collecte d’informations a été réalisée dans le respect des dispositions légales et règlementaires.
2. Sur le respect du droit à un procès équitable
a.  Sur les principes de confiance légitime et d’équité dans la procédure
59. Les sociétés relèvent que le contrôle en ligne réalisé par la délégation le 20 octobre 2022 a été interrompu le 20 octobre 2022 et a repris le 4 novembre 2022 sans justification. Elles considèrent que l’interruption du contrôle en ligne les a privées du droit de bénéficier de conditions garantissant l’authenticité et l’intégrité des éléments de preuve collectés lors du contrôle comme le prévoit pourtant la Charte des contrôles.
60. La formation restreinte relève tout d’abord que la Charte des contrôles, publiée sur le site web de la CNIL, présente les modalités pratiques les plus courantes de déroulement des contrôles. Elle considère que si cette Charte permet d’offrir une plus grande prévisibilité des méthodes utilisées par les contrôleurs de la CNIL aux organismes contrôlés, elle n’a pas pour autant de caractère normatif et ne saurait se substituer aux dispositions légales. Elle note également qu’aux termes de l’article 19-III de la loi Informatique et Libertés et de l’article 33 du décret pris pour son application, les agents habilités peuvent réaliser toute opération en ligne nécessaire à leur mission sous une identité d'emprunt afin de contrôler des services de communication au public en ligne.
61. Elle relève ensuite que l’article 33 du décret précité, qui prévoit la possibilité pour la délégation de la CNIL d’effectuer des contrôles en ligne, ne limite pas la durée pendant laquelle doivent se dérouler ces opérations. Elle relève par ailleurs que le procès-verbal n° 2022-175/1 indique que les constatations réalisées lors du contrôle en ligne qui a débuté le 20 octobre 2022 à 9h56 ont été suspendues à 17h08 et ont repris le 4 novembre à 16h38. Il apparait que la délégation, après avoir créé un compte sur le service Gmail, a laissé passer le laps de temps nécessaire à la constatation des opérations de prospection sur la boite électronique du compte de messagerie Gmail, lesquelles ne peuvent être réalisées qu’au bout de plusieurs heures ou jours. Dans ces conditions, la formation restreinte considère que la suspension du contrôle avait justement vocation à reproduire ce qui se passe pour un internaute qui se connecte à son compte Google plusieurs jours après l’avoir créé. Elle relève en tout état de cause que les sociétés ne contestent pas la matérialité des faits révélés par le contrôle en ligne, à savoir, le dépôt de cookies sur le terminal des utilisateurs résidant en France et l’affichage des annonces publicitaires dans la boite électronique des utilisateurs de Gmail.
62. Au regard de ces éléments, la formation restreinte considère que les informations collectées lors du contrôle en ligne l’ont été de façon loyale, dans le respect des dispositions définies par les textes applicables.
b.  Sur les droits de ne pas s’auto-incriminer et de se taire 
63. Les sociétés soutiennent que la CNIL a méconnu leur droit de se taire durant la phase d’enquête. Elles considèrent que la CNIL a tiré avantage du contrôle sur place dans les locaux de GOOGLE France, de l’obligation de coopérer et des sanctions pénales encourues en cas d’entrave, pour obtenir la mise en place de visioconférences avec des salariés irlandais de GIL. Elles soutiennent que les salariés se sont sentis obligés de répondre aux questions de la CNIL et ont ainsi fourni des éléments de preuve sur le rôle de la société GIL et le fonctionnement des annonces Gmail.
64. La formation restreinte rappelle que l’article 19 de la loi Informatique et Libertés définit les règles applicables aux procédures de contrôles menées par les agents de la CNIL. Elle relève que cette phase d’enquête, préalable à l’ouverture d’une procédure de sanction, implique diverses méthodes d’investigation, pouvant consister en des opérations d’analyse à distance, des contrôles en ligne ou des inspections sur place. L'objectif primordial de cette étape est la collecte systématique d’éléments factuels et tangibles relatifs aux pratiques en cause. Elle considère que les interactions verbales ou écrites avec les parties concernées visent exclusivement à obtenir des précisions sur les faits constatés, sans chercher à établir une quelconque culpabilité ni à qualifier juridiquement les faits à ce stade. Elle relève également que l’article 18 de la loi Informatique et Liberté instaure une obligation de coopération, destinée à permettre à la CNIL de recueillir les éléments nécessaires à la constatation et le cas échéant à la sanction de manquements à la loi Informatique et Libertés. Elle considère qu’en vertu des dispositions précitées, la phase de contrôle - et la procédure de sanction menée par la CNIL - ont pour objectif de garantir l’effectivité du droit fondamental des personnes physiques à la protection de leurs données à caractère personnel, reconnu par l’article 8, paragraphe 1 de la Charte des droits fondamentaux de l’Union européenne.
65. Elle relève ensuite que le Conseil d’État a récemment considéré, dans le cadre de l’examen d’une demande de renvoi d’une question prioritaire de constitutionnalité, que les dispositions de l’article 19 de la loi Informatique et Libertés " n’ont pas pour objet le recueil, par les enquêteurs de la CNIL, des explications d’une personne portant sur des faits pour lesquels elle serait mise en cause dans le cadre d’une procédure tendant à l’adoption de mesures de sanction à son encontre. Elles n’impliquent donc pas par elles-mêmes que les personnes sollicitées se voient notifier leur droit de se taire. " (CE, 10e et 9e chambres réunies, 18 avril 2025, n° 482872).
66. Il résulte de cette décision que la délégation de contrôle de la CNIL n’était pas tenue d’informer les sociétés de leur droit de se taire à l’occasion des missions de contrôle auxquelles elle a procédé.
67. En tout état de cause, elle relève également que le Conseil d’État a considéré que l’annulation n’était encourue, si le droit de se taire n’était pas notifié, que si la décision en cause se fondait de manière déterminante sur les propos tenus par le mis en cause (CE, Section, 19 décembre 2024, n° 490157). Or, la formation restreinte considère en l’espèce que les manquements reprochés aux sociétés sont seulement fondés sur les constatations réalisées dans le cadre des contrôles et sur la documentation fournie dans le cadre de la procédure.
68. La formation restreinte relève en outre, que les informations fournies dans ce cadre par les sociétés contenaient exclusivement des éléments de faits objectifs, décrivant l’architecture technique de ses traitements relatifs au dépôt et à la lecture de cookies sur le terminal des utilisateurs situés France et créant un compte Google ainsi que ceux relatifs à l’affichage d’annonces dans la messagerie électronique Gmail. Ainsi, la délégation de contrôle de la CNIL s’est bornée à recueillir des éléments purement factuels afin de s’assurer de disposer d’une compréhension suffisante des traitements mis en œuvre par les sociétés, dans le respect des pouvoirs qui lui sont conférés par les articles 8(2), g) et 19 de la loi Informatique et Libertés. La formation restreinte relève de surcroit que la caractérisation des manquements proposés par la rapporteure repose sur les constatations issues des contrôles en ligne réalisés par la délégation de la CNIL.
69. La formation restreinte relève enfin que dans sa décision n°2025-1154 QPC du 8 août 2025, relative à la procédure de sanction suivie devant la formation restreinte, le Conseil constitutionnel a considéré qu’en ne prévoyant pas qu’une personne mise en cause devant la formation restreinte soit informée de son droit de se taire, les dispositions de l’article 22 de la loi du 6 janvier 1978 précitée devaient être déclarées contraires à la Constitution.
70. Elle observe néanmoins que le Conseil Constitutionnel a décidé d’une part, de reporter l’effet de cette inconstitutionnalité au 1er octobre 2026 et indiqué d’autre part, que " les mesures prises avant la publication de la présente décision ne peuvent être contestées sur le fondement de cette inconstitutionnalité ",
71. Il résulte de ce qui précède que la formation restreinte considère que le grief tiré de l’absence de notification du droit de se taire doit être écarté.
c. Sur les griefs tirés de la méconnaissance des droits de la défense
72. Les sociétés estiment que la jonction tardive des deux procédures de contrôle a limité le temps disponible pour préparer leur défense. Elles considèrent que ce temps aurait été supérieur si les deux procédures étaient demeurées distinctes. Elles indiquent également que la CNIL a manqué à son devoir de loyauté en ne les informant pas, lors de la procédure de contrôle, de la nature des charges et manquements allégués. Elles soutiennent que la CNIL a méconnu le principe de loyauté de la preuve en utilisant des éléments de preuve collectés lors des contrôles sur place portant sur le traitement de prospection par voie électronique dans le volet de la présente procédure portant sur les cookies.
73. La formation restreinte relève d’abord que la première procédure de contrôle, qui avait pour objet de s’assurer de la conformité des traitements relatifs à la prospection par voie électronique dans la messagerie Gmail, a révélé un parcours utilisateur déployé par les sociétés à cette fin, qui était commun au parcours utilisateur mis en œuvre par les sociétés en matière de cookies. La formalisation de ces constatations a donc justifié une seconde procédure de contrôle dédiée à cette thématique pour laquelle la CNIL est également compétente. La formation restreinte considère que la jonction des procédures, qui n’est pas interdite par les textes et a été réalisée sans stratagème, apparait d’autant plus opportune qu’un seul parcours utilisateur marque l’entrée dans l’écosystème des services Google. Elle considère, en conséquence, que la délégation de contrôle n’a pas méconnu le principe de loyauté de la preuve, tous les éléments ayant été recueillis dans le respect des textes applicables.
74. En outre, s’agissant du droit de disposer du temps nécessaire à la préparation de sa défense, la formation restreinte rappelle que ce droit est l’une des composantes du droit à un procès équitable contenu à l’article 6 de la Convention de sauvegarde des droits de l’homme et des libertés fondamentales et qui doit, conformément à la jurisprudence de la Cour européenne des droits de l’homme, être analysé à la lumière de sa fonction dans le contexte général de la procédure (CEDH, 20 janvier 2005, Mayzit c. Russie n° 63378/00).
75. A cet égard, la formation restreinte rappelle d’abord, comme indiqué ci-dessus, qu’aucune obligation n’imposait à la CNIL de mener deux procédures de sanction distinctes et que, s’agissant des délais, la mise en œuvre du principe du contradictoire prévoit en application de l’article 40 du décret n° 2019-536 du 29 mai 2019 que le responsable de traitement à qui est notifié un rapport de sanction dispose d’un délai d’un mois pour transmettre ses observations en réponse. La formation restreinte rappelle ensuite que le Conseil d’État a déjà eu l’occasion d’écarter l’exception d’illégalité concernant ce délai d’un mois prévu à l’article 75 du décret du 20 octobre 2005 (désormais l’article 40 du décret n° 2019-536 du 29 mai 2019) (CE, 19 juin 2020, n° 430810 pt 13). Dans cette affaire, le Conseil d’État a considéré que la société avait été mise à même de préparer et de présenter utilement sa défense dès lors qu’elle avait disposé d’un délai d’un mois pour répondre au rapport du rapporteur. Enfin, la formation restreinte relève qu’outre ce délai d’un mois, les sociétés ont en l’espèce bénéficié à deux reprises d’un délai supplémentaire au cours de la procédure contradictoire pour répondre aux observations de la rapporteure et qu’elles ont eu la faculté de s’exprimer de nouveau devant la formation restreinte. La formation restreinte considère en conséquence qu’il n’a pas été porté atteinte aux droits de la défense des sociétés, de sorte que le grief tenant à la limitation du
temps pour préparer leur défense sera écarté.
76. Au regard de l’ensemble de ces éléments, la formation restreinte considère que la jonction des procédures de contrôle, motivée par une logique de cohérence, n’a pas violé le droit à un procès équitable, ni porté atteinte aux droits de la défense.
C. Sur la détermination du responsable de traitement
77. Aux termes de l’article 4, paragraphe 7, du RGPD, le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ". Aux termes de l’article 26, paragraphe 1 du RGPD, " lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement, ils sont les responsables conjoints du traitement ".
78. La CJUE s’est prononcée sur la notion de responsabilité conjointe du traitement dans son arrêt Témoins de Jéhovah dans lequel elle a considéré que, selon les dispositions de l’article 2, sous d), de la directive 95/46 sur la protection des données personnelles, " la notion de " responsable du traitement " vise la personne physique ou morale qui, " seule ou conjointement avec d’autres ", détermine les finalités et les moyens du traitement de données à caractère personnel. Cette notion ne renvoie, dès lors, pas nécessairement à une personne physique ou morale unique et peut concerner plusieurs acteurs participant à ce traitement, chacun d’entre eux devant alors être soumis aux dispositions applicables en matière de protection des données […]. L’objectif de cette disposition étant d’assurer, par une définition large de la notion de " responsable ", une protection efficace et complète des personnes concernées, l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente, pour un même traitement de données à caractère personnel, des différents acteurs. Au contraire, ces acteurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce " (CJUE, 10 juillet 2018, C 25/17, points 65 et 66).
79. La rapporteure considère que les sociétés GIL et GOOGLE LLC sont responsables conjoints des traitements en cause en application de ces dispositions, dès lors que les sociétés déterminent toutes les deux les finalités et les moyens des traitements consistant en des opérations d’accès ou d’inscription d’informations dans le terminal des utilisateurs des services de Google résidant en France, et relatifs à la prospection électronique sur le service Gmail.
80. En défense, les sociétés considèrent que seule la société GIL est responsable des traitements en cause. Elles indiquent dans le cadre du contradictoire, que " [la société] GOOGLE LLC est un développeur tiers agissant pour le compte de GIL et suivant les instructions de GIL dans le cadre de sa contribution au développement d’un produit. Ces relations sont documentées dans un contrat de traitement des données entre GIL et Google LLC ". Elles relèvent également que des changements opérationnels ont eu lieu depuis les arrêts du Conseil d’Etat au cours desquels la responsabilité conjointe des sociétés GOOGLE LLC et GIL n’avait pas été contestée (CE, 28 janvier 2022, 10ème et 9ème chambres réunies, société GOOGLE LLC et société GOOGLE IRELAND LIMITED, n° 449209, au recueil et CE, 19 juin 2020, 10ème et 9ème chambres réunies, société GOOGLE LLC, n° 430810, au recueil). Parmi ces changements, elles citent notamment la création […]. Elles ajoutent que […] jouent un rôle central dans la gouvernance en matière de protection des données personnelles et exercent un travail de supervision sur le lancement des produits.
1. Sur la responsabilité de la société GIL