AgentPublic/cnil huggingface dataset:
216. En conséquence, la formation restreinte considère que les modifications apportées le 11 avril 2023 sur les annonces non sollicitées affichées dans les onglets " Promotions " et " Réseaux sociaux " dans la boite de réception du service Gmail ne sont pas de nature à remettre en cause le régime juridique applicable à l’affichage de ces messages. Au regard des motifs exposés ci-dessus, l’analyse de la formation restreinte reste la même pour les annonces affichées après cette date que pour celles ayant fait l’objet du contrôle. La formation restreinte précise par ailleurs que le parcours utilisateur permettant de créer un compte Google – préalable obligatoire pour disposer d’une messagerie Gmail, n’a pas fait l’objet de modification en vue de recueillir le consentement des utilisateurs à la réception d’annonces publicitaires dans la boîte de réception de leur messagerie électronique.
217. Au regard de l’ensemble de ces éléments, la formation restreinte considère qu’en procédant à l’affichage d’annonces publicitaires dans les onglets " Promotions " et " Réseaux sociaux " de la boite de réception de l’utilisateur d’un compte de messagerie électronique et en les insérant entre les courriels reçus, sans recueillir le consentement préalable des utilisateurs, les sociétés ont commis un manquement aux dispositions de l’article L. 34-5 du CPCE.
III. SUR LES MESURES CORRECTRICES ET LEUR PUBLICITÉ
218. Aux termes de l’article 20-IV de la loi n° 78-17 du 6 janvier 1978 modifiée, " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : […]
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans les cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 euros par jour de retard à compter de la date fixée par la formation restreinte ;
7° À l'exception des cas où le traitement est mis en œuvre par l'État, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d'euros et 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dans la détermination du montant de l'amende, les critères précisés au même article 83 ".
219. L’article 83 du RGPD prévoit en outre que " chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
220. L’article 22, alinéa 2 de la loi Informatique et Libertés dispose ensuite que " la formation restreinte peut rendre publique les mesures qu’elle prend ".
221. Le considérant 150 du RGPD prévoit que " Lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l'Union européenne ".
222. Les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 précisent que la notion d’entreprise doit s’entendre comme " une unité économique pouvant être formée par la société mère et toutes les filiales concernées. Conformément au droit et à la jurisprudence de l’Union, il y a lieu d’entendre par entreprise l’unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée ".
223. Dans un arrêt du 5 décembre 2023 (CJUE, grande chambre, C-807/21), la CUJE a considéré, s’agissant de la notion d’ " entreprise " qu’" ainsi que l’a relevé M. l’avocat général au point 45 de ses conclusions, c’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’" entreprise ", au sens des articles 101 et 102 TFUE. À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des
articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée. En définitive, ainsi que M. l’avocat général l’a relevé au point 47 de ses conclusions, seule une amende administrative dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire, et donc imposée par l’autorité de contrôle en se fondant, en ce qui concerne le montant de celle-ci, sur la notion d’unité économique au sens de la jurisprudence citée au point 56 du présent arrêt, est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Dès lors, lorsqu’une autorité de contrôle décide, au titre des pouvoirs qu’elle détient en vertu de l’article 58, paragraphe 2, du RGPD, d’imposer à un responsable du traitement, qui est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, une amende administrative en application de l’article 83 dudit règlement, cette autorité est tenue de se fonder, en vertu de cette dernière disposition, lue à la lumière du considérant 150 du même règlement, lors du calcul des amendes administratives pour les violations visées aux paragraphes 4 à 6 de cet article 83, sur la notion d’" entreprise ", au sens de ces articles 101 et 102 TFUE " (paragraphes 55 à 59).
224. Cette position a été confirmée par la Cour dans son arrêt du 13 février 2025 (CJUE, cinquième chambre, C-383/23.
A. Sur le prononcé d’une amende administrative et son montant 
225. La rapporteure propose à la formation restreinte de prononcer à l’encontre des sociétés une amende administrative au regard des manquements constitués aux articles 82 de la loi Informatique et Libertés et L. 34-5 du CPCE. Elle estime également que le prononcé d’une injonction sous astreinte est nécessaire afin d’assurer la mise en conformité des sociétés relative aux deux manquements précités. Elle propose enfin que la délibération de la formation restreinte soit rendue publique.
226. En défense, les sociétés estiment d’abord que le manque de transparence de la rapporteure sur sa méthode de calcul des amendes caractérise une violation des principes de sécurité juridique et de prévisibilité. Elles produisent à cet effet une analyse économique sur la détermination de la sanction proposée, qui conclut à une application erronée, par la rapporteure, des obligations fixées par le RGPD pour déterminer le quantum de la sanction.
227. Elles soutiennent ensuite que le montant de l’amende proposé par la rapporteure apparait disproportionné, arbitraire et discriminatoire. Elles insistent sur le fait, d’une part, que les utilisateurs ne sont pas tenus de créer un compte Google pour accéder aux services les plus importants et les plus utilisés de Google - Google Search, Google Maps, You Tube, et d’autre part, qu’elles proposent en tout état de cause une alternative en offrant aux utilisateurs la possibilité de créer un compte gratuit comportant de la publicité réalisée à partir d’annonces génériques au lieu d’annonces personnalisées, conformément aux recommandations du CEPD. Elles rappellent avoir mené des démarches afin d’améliorer leurs traitements, d’abord de manière proactive, puis à la suite des contrôles réalisés par la délégation de la CNIL. Elles estiment ainsi ne pas avoir fait preuve de négligence et considèrent que la rapporteure n’a pas pris en compte le degré de collaboration dont elles ont fait preuve durant l’ensemble de la procédure.
228. Enfin, elles considèrent que l’amende proposée par la rapporteure ne prend pas en compte l’absence de préjudice subi par les personnes concernées puisque d’une part, s’agissant de l’article 82 de la loi Informatique et Libertés, les personnes concernées n’ont subi aucun préjudice dans la mesure où les utilisateurs peuvent accéder aux principaux produits et services de Google sans avoir de compte Google. S’agissant d’autre part du manquement à l’article L. 34-5 du CPCE, elles relèvent qu’une partie importante des utilisateurs de Gmail ne voient pas la moindre annonce objet de la procédure – soit parce qu’ils n’ont pas activé les " Fonctionnalités intelligentes ", soit par qu’ils ont désactivé les onglets " Promotions " et " Réseaux sociaux ". Particulièrement, elles considèrent que tous les comptes de messagerie Gmail régulièrement créés antérieurement à l’arrêt du 25 novembre 2021 ne sauraient être considérés comme soumis aux règles plus sévères dégagées à cette occasion.
229. Les sociétés ajoutent que la rapporteure n’a pas pris en compte les circonstances atténuantes majeures résultant notamment du placement des annonces dans des onglets distincts de l’onglet principal et aux titres évocateurs.
230. En outre, elles considèrent que la rapporteure a fait une confusion entre le chiffre d’affaires du groupe GOOGLE et les avantages financiers retirés des pratiques litigieuses. Elles relèvent ainsi que la rapporteure a pris en compte les revenus publicitaires mondiaux de la société ALPHABET pour évaluer les avantages financiers retirés des pratiques litigieuses. Or, elles soutiennent qu’une très large part de ces revenus ne provient pas de ceux générés par les pratiques litigieuses mises en œuvre par la société GIL au niveau européen. De plus elles considèrent la notion de revenu impropre pour déterminer les gains financiers puisqu’elle ne prend pas en compte les charges qui doivent être déduites.
231. A titre liminaire, la formation restreinte rappelle que l’exigence de motivation d’une sanction administrative n’impose ni à la formation restreinte, ni à la rapporteure de se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, et qu’elle n’implique pas non plus que soient indiqués les éléments chiffrés relatifs au mode de détermination du montant de la sanction proposée ou prononcée (CE, 10e/9e, 19 juin 2020, n° 430810 ; CE, 10e/9e, 14 mai 2024, n° 472221).
232. La formation restreinte considère qu’en l’espèce, la rapporteure a fait apparaître de façon claire et détaillée les éléments lui ayant permis d’apprécier la gravité avérée des manquements retenus et de permettre aux sociétés de se défendre au regard de ces éléments. Dès lors, aucune atteinte aux principes de sécurité juridique et de prévisibilité n’apparait constituée.
233. Ceci étant rappelé, la formation restreinte considère qu’il convient, en l’espèce, d’examiner les critères pertinents de l’article 83 du RGPD pour décider s’il y a lieu d’imposer une amende administrative aux sociétés et, le cas échéant, pour déterminer son montant.
1. Sur le prononcé de l’amende 
234. En premier lieu, la formation restreinte considère qu’il y a lieu de tenir compte, en application de l’article 83, paragraphe 2, a) du RGPD, de la nature, de la gravité et de la durée des violations, compte tenu de la nature, de la portée ou de la finalité des traitements concernés, ainsi que du nombre de personnes concernées affectées.
235. S’agissant tout d’abord du manquement à l’article 82 de la loi Informatique et Libertés, la formation restreinte relève que jusqu’en octobre 2023, le parcours des utilisateurs créant un compte Google était biaisé en faveur de l’acceptation d’une publicité ciblée, privant ainsi les utilisateurs de leur liberté de choix. Elle relève ensuite que l’absence de consentement valide des utilisateurs situés en France au dépôt et/ou à la lecture de cookies publicitaires sur leur terminal persiste à ce jour lorsqu’un utilisateur souhaite créer un compte Google depuis le site web google.fr, dans la mesure où ce consentement n’est toujours pas recueilli de manière conforme. La formation restreinte considère qu’en ne respectant pas les exigences de l’article précité, les sociétés ne permettent pas aux utilisateurs de comprendre les conséquences et la portée de leurs choix en matière de traitement de leurs données à caractère personnel.
236. Elle souligne que les sociétés GOOGLE réalisent l’essentiel de leurs bénéfices dans les deux principaux segments du marché de la publicité en ligne que constituent la publicité ciblée et la publicité contextuelle, dans lesquels les cookies jouent un rôle indéniable, quoique différent.
237. Tout d’abord, dans le segment de la publicité ciblée, dont l’objet est d’afficher un contenu dans une zone spécifique d’un site web et dans lequel les cookies et traceurs sont utilisés pour identifier les utilisateurs au cours de leur navigation aux fins de leur proposer les contenus les plus personnalisés, il est établi que le groupe GOOGLE propose des produits à tous les échelons de la chaîne de valeur de ce segment et que ses produits sont systématiquement dominants sur ces différents échelons. Ainsi, il a récemment été établi que le groupe détenait 91% du marché global des éditeurs et 87% du marché global des annonceurs pour les affichages dans l’internet ouvert, marchés pertinents pour la publicité en ligne (US District Court for the Eastern District of Virginia, Google Ad Tech, Case No. 1:23-cv-108 (LMB/JFA), Judgment, 17 April 2025 et US DoJ, Google Ad Tech, Press release, 17 April 2025). Le groupe GOOGLE indique par ailleurs, sur un de ses sites web, qu’il propose pour la publicité un écosystème accessible depuis ses outils et services capable de toucher plus de 2 millions de sites, vidéos et applications et plus de 90% des utilisateurs de l’Internet dans le monde. Ensuite, le segment de la publicité contextuelle, dont l’objet est d’afficher des résultats sponsorisés en fonction des mots clef tapés par les utilisateurs, nécessite également l’usage de cookies dans sa mise en œuvre pratique, par exemple pour pouvoir déterminer la localisation géographique des
utilisateurs et, par-là, adapter les annonces proposées en fonction de cette localisation. À cet égard, il ressort du rapport annuel de la société ALPHABET pour l’année 2023 que ce segment constitue à lui seul, à travers notamment le service Google Ads - anciennement AdWords -, 77,4 % du chiffre d’affaires du groupe GOOGLE.
238. Elle relève ensuite que le CEPD a rappelé dans ses lignes directrices 8/2020 sur le ciblage des utilisateurs de médias sociaux, que la publicité comportementale – ou publicité ciblée présente des risques importants pour les libertés et droits fondamentaux des personnes concernées, y compris la possibilité de discrimination et d’exclusion et la manipulation éventuelle des utilisateurs.
239. La formation restreinte considère que le traitement présente un caractère massif. Elle relève à cet effet que les sociétés ont indiqué que plus de […] de comptes Google standard ont été créés par des utilisateurs résidant en France entre le 15 décembre 2020 et le 26 octobre 2023, et plus de […] entre le 1er avril 2021 – entrée en vigueur des lignes directrices et de la recommandation " cookies et autres traceurs de la CNIL " précitées – et le 26 octobre 2023. Elle relève également à titre d’illustration que pour la période allant de janvier à juin 2023, la moyenne mensuelle des utilisateurs actifs connectés à un compte Google en France était de plus de […] sur le service Google Search, et de plus de […] sur le service YouTube. La formation restreinte note que ces chiffres ne correspondent pas nécessairement au nombre de personnes uniques concernées. Toutefois, même si une seule personne est susceptible de correspondre à plusieurs identifiants différents en raison de l’utilisation de multiples terminaux et navigateurs, ce volume reflète la place centrale occupée par les comptes Google dans le quotidien des personnes résidant en France.
240. S’agissant ensuite du manquement à l’article L. 34-5 du CPCE, la formation restreinte entend souligner qu’il présente une gravité avérée, notamment au regard du caractère intrusif de la pratique en cause. Il convient ainsi de rappeler que les règles posées par la directive ePrivacy en matière de prospection commerciale par voie électronique, transposées à l’article L. 34-5 du CPCE, ont pour objet de protéger la vie privée des utilisateurs ou abonnés s’agissant des communications non sollicitées. La formation restreinte relève que, si les sociétés ont mis en place différents onglets dans la boite de réception de l’utilisateur qui active les " fonctionnalités intelligentes " et qu’aucune annonce non sollicitée n’apparait dans l’onglet intitulé " Principale ", il n’en demeure pas moins qu’aucun consentement de sa part n’est recueilli pour recevoir cette prospection commerciale, de sorte que celui-ci est forcé de recevoir des messages publicitaires au milieu de ses courriels privés dans les onglets intitulés " Promotions " et " Réseaux sociaux " de sa boite de réception. Une telle pratique, qui consiste à utiliser la confiance de l’abonné dans le service utilisé, correspond très précisément à une pratique intrusive.
241. La formation restreinte relève en outre que ce manquement concerne un nombre important de personnes puisqu’il ressort des constatations des contrôles qu’au 11 décembre 2022, et sur la base des 28 jours ayant précédé cette date, il y avait en France, plus de […] de comptes Gmail grand public actifs au moins une fois au cours de cette période, pour lesquels l’affichage du service Gmail contenait les onglets " Promotions " ou " Réseaux sociaux " dans lesquels les annonces non sollicitées étaient affichées. La formation restreinte note que ce nombre était porté à plus de […] au 13 mai 2023, et à […] au 10 septembre 2024, sur la base des 28 jours ayant précédé cette date. Même si ces chiffres ne correspondent pas nécessairement au nombre de personnes uniques concernées (une personne pouvant disposer de plusieurs comptes de messagerie) la formation restreinte relève que ce volume reste considérable puisqu’il représente environ […]% des comptes actifs au moins une fois au cours des périodes données en France, sur la base des 28 jours ayant précédé la date de référence.
242. Enfin, ainsi qu’il a déjà été rappelé, la formation restreinte souligne que les règles relatives à la prospection commerciale par voie électronique sont définies depuis de nombreuses années tant par la législation nationale qu’européenne, la directive ePrivacy de 2002 ayant été transposée en droit français en 2004. L’exigence tenant à recueillir le consentement des personnes concernées pour réaliser des opérations de prospection commerciale par voie électronique est ainsi clairement requise au regard de cette législation. Elle a par ailleurs été rappelée par la CNIL à plusieurs reprises, tant à travers les publications sur son site web que par les multiples décisions rendues en la matière. En outre, l’arrêt de la CJUE du 25 novembre 2021, rendu près d’un an avant les opérations de contrôle, est rédigé en des termes parfaitement clairs : l’affichage dans la boîte de réception de l’utilisateur d’un service de messagerie électronique de messages publicitaires sous une forme qui s’apparente à celle d’un véritable courrier électronique et au même emplacement que ce dernier constitue une " utilisation [...] de courrier électronique à des fins de prospection directe " et n’est autorisée qu’à condition que ledit utilisateur ait été informé de manière claire et précise des modalités de diffusion d’une telle publicité et ait manifesté son consentement de manière spécifique et en pleine connaissance de cause à recevoir de tels messages publicitaires (point 63). Les sociétés
auraient dès lors dû, compte tenu notamment de leur position sur le marché et des moyens dont elles disposent, se montrer particulièrement vigilantes à l’égard des règles applicables en matière de prospection électronique. Ainsi, en s’affranchissant du respect de ces règles, la formation restreinte considère que les sociétés se sont montrées, à tout le moins, fortement négligentes.
243. En deuxième lieu, la formation restreinte estime qu’il convient de tenir compte du critère prévu à l’article 83, paragraphe 2, b) et e) du RGPD, relatifs au fait que la violation a été commise délibérément ou par négligence et qu’elle fait suite à une violation pertinente ayant été commise précédemment par le responsable du traitement. Elle considère que ces critères sont en l’espèce liés car les sociétés ont fait preuve d’une négligence avérée au regard notamment du fait qu’elles avaient été précédemment sanctionnées.
244. Elle rappelle ainsi qu’en l’espèce les sociétés ont déjà fait l’objet d’une sanction n°SAN-2021-023 le 31 décembre 2021 portant sur un manquement à l’article 82 de la loi Informatique et Libertés dans la mesure où, sur les sites internet " google.fr " et " youtube.com ", elles ne mettaient pas à disposition des utilisateurs situés en France, un moyen de refuser les opérations de lecture et/ou d’écriture d’informations dans leur terminal présentant le même degré de simplicité que celui prévu pour en accepter l’usage. La formation restreinte estime donc que les sociétés étaient en mesure de savoir que les autres mécanismes de recueil du consentement qu’elles mettaient en place de façon identique - dans un environnement connecté cette fois-ci, n’étaient pas conformes à l’article 82 de la loi Informatique et Liberté.
245. Elle considère que les sociétés - qui figurent parmi les acteurs mondiaux les plus importants de l’internet, dont les opérations de lecture ou écriture d’informations dans le terminal des utilisateurs sont au cœur de leur modèle d’activité, en particulier publicitaire et qui gèrent certains des sites les plus visités - se sont montrées à tout le moins négligentes en ne mettant pas place un système de refus aisé des cookies lors de la création d’un compte Google, alors même qu’elles avaient déjà fait l’objet d’une précédente sanction portant sur un sujet connexe.
246. Par ailleurs, ainsi qu’il a déjà été rappelé, la formation restreinte souligne que les règles relatives à la prospection commerciale par voie électronique sont définies depuis de nombreuses années et que l’arrêt de la CJUE, dont les termes sont particulièrement clairs, a été rendu près d’un an avant les opérations de contrôle. Les sociétés auraient dès lors dû, compte tenu notamment de leur position sur le marché et des moyens dont elles disposent, se montrer particulièrement vigilantes à cet égard. Ainsi, en s’affranchissant du respect de ces règles, la formation restreinte considère que les sociétés se sont montrées négligentes s’agissant de la violation des dispositions de l’article L. 34-5 du CPCE.