AgentPublic/cnil huggingface dataset:
247. En troisième lieu, la formation restreinte considère que le critère relatif aux mesures prises par le responsable de traitement pour atténuer le dommage subi par les personnes concernées doit également être pris en compte, en application de l’article 83, paragraphe 2, c) du RGPD.
248. Il apparait en effet qu’après la saisine de la CNIL par l’association NOYB du 24 août 2022 dénonçant publiquement les pratiques des sociétés, celles-ci ont pris des mesures pour mettre en conformité une partie de leurs pratiques avec les dispositions de l’article 82 de la loi Informatique et Libertés, en modifiant le processus de création d’un compte Google afin de permettre aux utilisateurs de refuser le dépôt de cookie liés à la personnalisation des annonces sur le parcours express dès octobre 2023.
249. La formation restreinte relève par ailleurs que les sociétés ont également pris des mesures au cours de la procédure de sanction – désactivation de plusieurs cookies liés à la publicité personnalisée et modification du format visuel des annonces dans Gmail afin de réduire le risque de confusion avec les courriels, sans pour autant qu’elles permettent une mise en conformité totale.
250. En quatrième lieu, la formation restreinte entend tenir compte de certaines autres circonstances applicables aux faits de l’espèce, en application de l’article 83, paragraphe 2, k) du RGPD.
251. La formation restreinte considère notamment que les sociétés ont tiré des violations commises un avantage financier certain. Ainsi, s’agissant du manquement à l’article 82 de la loi Informatique et Libertés, si l’ensemble des revenus des sociétés ne sont pas directement liés aux cookies, la publicité en ligne repose essentiellement sur le ciblage des internautes, auquel le cookie et la personnalisation des annonces participent directement en permettant de singulariser et d’atteindre l’utilisateur identifié en vue de lui afficher du contenu publicitaire correspondant à ses centres d’intérêts et à son profil. S’agissant ensuite du manquement à l’article L. 34-5 du CPCE, la formation restreinte rappelle que les sociétés sont rétribuées par les annonceurs pour utiliser l’espace entre les courriels pour y insérer les annonces.
252. La formation restreinte relève à cet égard que la publicité via les services du groupe GOOGLE a généré près de […] de dollars en 2022 et plus de […] de dollars en 2023.
253. La formation restreinte considère que l’avantage financier tiré des violations commises doit dès lors être pris en compte, à titre de circonstance aggravante, bien qu’il n’ait pas été chiffré au cours de la procédure. Elle rappelle que l’article 83, paragraphe 2, k) du RGPD n’est qu’un seul des nombreux critères pris en compte pour déterminer le montant de l’amende et que ce montant ne résulte pas en tant que tel de l’application d’un pourcentage au chiffre d’affaires de l’entreprise ou de ses bénéfices.
254. Par ailleurs, de manière plus générale, la formation restreinte considère que compte tenu de la position des sociétés sur le marché – le groupe GOOGLE détient une position centrale sur le marché publicitaire en ligne et son application Gmail est le deuxième service de messagerie dominant au monde – ainsi que des moyens humains, techniques et financiers dont elles disposent, celles-ci se doivent de faire preuve d’une particulière rigueur en matière de protection des données à caractère personnel.
255. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le prononcé d’une amende apparait justifié.
2. Sur le montant de l’amende
256. La formation restreinte relève qu’en application des dispositions de l’article 20-IV-7° de la loi Informatique et Libertés, la formation restreinte peut prononcer à l’encontre d’un responsable du traitement ayant commis les manquements constatés, une " amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu ". Elle rappelle ensuite que les amendes administratives doivent être dissuasives et proportionnées, au sens de l’article 83, paragraphe 1, du RGPD.
257. Elle considère qu’il convient de recourir à la notion d’entreprise en droit de la concurrence, en vertu de la référence directe et explicite opérée par le considérant 150 du RGPD ainsi que les lignes directrices sur l’application et la fixation des amendes administratives aux fins du règlement 2016/679 qui considèrent qu’il s’agit d’une unité économique pouvant être formée par la société mère et toutes les filiales concernées et d’une unité économique engagée dans des activités commerciales ou économiques, quelle que soit la personne morale impliquée.
258. La formation restreinte considère qu’en visant le RGPD à l’article 20 de la loi Informatique et Libertés, le législateur français a fait le choix d’harmoniser les règles relatives à la détermination du montant des amendes en matière de protection des données à caractère personnel, que l’amende ait vocation à sanctionner un manquement au titre du RGPD ou de la loi Informatique et Libertés.
259. Or, dans des arrêts rendus au titre du RGPD, la CJUE a confirmé que la notion d’ " entreprise " contenue à l’article 83 du RGPD devait bien s’appréhender au regard du droit de la concurrence, régit par les articles 101 et 102 du TFUE (CJUE, grande chambre, 5 décembre 2023, C-807/21 et CJUE, cinquième chambre, 13 février 2025, C-383/23).
260. La formation restreinte considère que compte tenu de la proximité entre le RGPD et la directive ePrivacy, il est cohérent que les règles régissant l’imposition d’amendes aux organismes soient uniformes qu’il s’agisse d’un manquement trouvant son origine dans le RGPD ou dans la directive ePrivacy.
261. S’agissant ensuite de ce que recouvre la notion " d’entreprise ", la formation restreinte relève que dans son arrêt précité du 5 décembre 2023, la CJUE retient qu’une entreprise est une unité économique, même si du point de vue juridique cette unité économique est constituée de plusieurs personnes morales. La CJUE précise qu’à l’instar du droit de la concurrence (Cour de Cassation, ch. com., 7 juin 2023, pourvoi n° 22-10.545 ; Autorité de la concurrence, décisions n° 21-D-10 du 3 mai 2021 et n° 21-D-28 du 9 décembre 2021), lorsqu’une filiale est détenue directement ou indirectement à 100% par sa maison mère, il existe une présomption réfragable selon laquelle la maison mère exerce une influence déterminante sur le comportement de la société. Pour déterminer le montant de l’amende envisagée, et qu’il corresponde à la capacité économique réelle de son destinataire, il convient alors, selon les deux arrêts précités, si les deux sociétés peuvent matériellement être regardées comme relevant de la même unité économique, de prendre en compte le chiffre d’affaire de la maison mère afin que l’amende soit effective, proportionnée et dissuasive.
262. La formation restreinte rappelle que la société ALPHABET Inc. détient à 100% les sociétés GOOGLE LLC et GIL et considère ainsi, à l’instar du droit de la concurrence, qu’il existe une présomption réfragable selon laquelle ALPHABET Inc. exerce une influence déterminante sur le comportement des sociétés GOOGLE LLC et GIL sur le marché (CJUE, grande chambre, 5 décembre 2023, C-807/21 ; également JUE, troisième chambre, 10 septembre 2009, Akzo C 97/08 P, paragraphes 58 à 61). Voir également, pour l’application de la présomption d’influence déterminante en cas de détention en chaîne : CJUE, Eni c/ Commission, 8 mai 2013 (C-508/11 P, § 48). Par conséquent, les sociétés ALPHABET Inc., GOOGLE LLC et GIL, constituent une seule entité économique et forment donc une seule entreprise au sens de l’article 101 du TFUE.
263. Compte tenu de ce qui précède, la formation restreinte considère qu’il y a lieu de retenir le chiffre d’affaire de l’entreprise au sens d’" unité économique ", à savoir celui de la maison mère du groupe. Elle rappelle qu’en 2024, la société ALPHABET Inc. a réalisé un chiffre d’affaire de plus de 350 milliards de dollars en 2024 – soit environ 312 milliards d’euros selon le cours EUR/USD du 16 mai 2025.
264. S’agissant du montant de l’amende qui doit être proportionnée et dissuasive, au regard de la responsabilité des sociétés, de leurs capacités financières et des critères pertinents de l’article 83 du RGPD la formation considère qu’apparait dissuasif et proportionné : le fait de prononcer à l’encontre de la société GOOGLE LLC une amende administrative d’un montant de de deux cents millions (200 000 000) d’euros, au regard des manquements constitués à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et de l’article L. 34-5 du code des postes et des communications électroniques.
265. De même, la formation restreinte considère qu’apparait dissuasif et proportionné le fait de prononcer à l’encontre de la société GOOGLE IRELAND LIMITED une amende administrative d’un montant de cent vingt-cinq millions (125 000 000) d’euros, au regard des manquements constitués à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et de l’article L. 34-5 du code des postes et des communications électroniques.
B. Sur le prononcé d’une injonction sous astreinte 
266. La rapporteure estime qu’au regard du degré de gravité des manquements, le prononcé d’une injonction est nécessaire afin d’assurer la mise en conformité des sociétés.
267. Les sociétés soutiennent que l’injonction apparait sans objet s’agissant du manquement à l’article 82 de la loi Informatique et Libertés compte tenu de leur mise en conformité. En tout état de cause, si une injonction était prononcée, elles sollicitent qu’un délai d’au moins six mois leur soit accordé, compte tenu du fait que les modifications de l’infrastructure sous-jacente du parcours de création de compte Google nécessitent un travail important ainsi qu’un déploiement progressif afin de détecter et corriger les éventuels problèmes techniques. S’agissant du manquement à l’article L. 34-5 du CPCE, elles sollicitent également qu’un délai de six mois leur soit accordé en raison des modifications de l’affichage des annonces dans Gmail ou du procédé de collecte du consentement pour ces annonces qui nécessitent le respect d’un processus rigoureux incluant de nombreuses étapes et des approbations internes.
268. La formation restreinte relève qu’au jour de la séance, les sociétés n’ont pas justifié de l’évolution de leurs pratiques, de sorte qu’elle considère qu’afin de s’assurer de leur mise en conformité s’agissant des manquements relevés aux articles 82 de la loi Informatique et Libertés et L. 34-5 du CPCE, le prononcé d’une injonction apparait nécessaire.
269. S’agissant du manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, la formation restreinte considère que les sociétés doivent fournir une information suffisante pour permettre aux utilisateurs situés en France de comprendre que des cookies poursuivant une finalité publicitaire seront nécessairement déposés lors de la création d’un compte Google.
270. S’agissant du manquement à l’article L. 34-5 du code des postes et des communications électroniques, la formation restreinte considère que les sociétés doivent recueillir le consentement préalable des utilisateurs situés en France, avant toute opération de prospection électroniques sur leur compte Gmail prenant la forme d’annonces publicitaires insérées entre les courriels ;
271. Par ailleurs, pour garantir le respect de cette injonction, la formation restreinte considère qu’au regard du chiffre d’affaires des sociétés et des moyens financiers, humains et techniques dont elles disposent pour remédier aux manquements constatés, il convient de prononcer une astreinte journalière d’un montant de cent mille (100 000) euros par jour de retard, liquidable à l’issue d’un délai de six (6) mois à compter de la notification de la décision.
C. Sur la publicité de la sanction
272. La rapporteure propose que la délibération de la formation restreinte soit rendue publique afin d’alerter les utilisateurs français des services Google et notamment Gmail, Google Search et Youtube de la caractérisation des manquements aux articles 82 de la loi Informatique et Libertés et L. 34-5 du CPCE.
273. Les sociétés sollicitent le rejet de la demande de publication de la décision, cette mesure n’apparaissant pas strictement nécessaire, et donc disproportionnée eu égard au montant de l’amende suggérée.
274. La formation restreinte considère qu’une telle mesure se justifie au regard de la gravité avérée des manquements en cause, de la position des sociétés sur le marché ainsi que du nombre de personnes concernées, lesquelles se doivent d’être informées.
275. Elle estime en outre que cette mesure apparait proportionnée dès lors que la décision n’identifiera plus nommément les sociétés à l’issue d’un délai de deux ans à compter de sa publication.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
- prononcer à l’encontre de la société GOOGLE LLC une amende administrative d’un montant de deux cents millions (200 000 000) d’euros, au regard des manquements constitués à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et à l’article L. 34-5 du code des postes et des communications électroniques ;
- prononcer à l’encontre de la société GOOGLE IRELAND LIMITED une amende administrative d’un montant de cent vingt-cinq millions (125 000 000) d’euros, au regard des manquements constitués à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et à l’article L. 34-5 du code des postes et des communications électroniques;
- prononcer une injonction, à l’encontre des deux sociétés de mettre en conformité le traitement avec les dispositions des articles 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés et L. 34-5 du code des postes et des communications électroniques, et en particulier :
o s’agissant du manquement à l’article 82 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, de fournir une information suffisante pour permettre aux utilisateurs situés en France de comprendre que des cookies poursuivant une finalité publicitaire seront nécessairement déposés lors de la création d’un compte Google ;
o s’agissant du manquement à l’article L. 34-5 du code des postes et des communications électroniques, de recueillir le consentement préalable des utilisateurs situés en France, avant toute opération de prospection électroniques sur leur compte Gmail prenant la forme d’annonces publicitaires insérées entre les courriels ;
- Assortir l’injonction d’une astreinte de cent mille (100 000) euros par jour de retard à l’issue d’un délai de six (6) mois suivant la notification de la délibération de la formation restreinte ;
- rendre publique, sur le site web de la CNIL et sur le site web de Légifrance, sa délibération, qui ne permettra plus d’identifier nommément les sociétés à l’issue d’une durée de deux ans à compter de sa publication.
Le président
Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de quatre mois à compter de sa notification.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. KLING et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n°2019-536 du 29 mai 2019 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2023-193C du 31 juillet 2023 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification ;
Vu la décision de la Présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte du 30 octobre 2024 ;
Vu le rapport de M. Fabien TARISSAN, commissaire rapporteur, notifié à la société INFINITE STYLES SERVICES CO. LIMITED le 18 février 2025 ;
Vu les observations écrites de la société INFINITE STYLES SERVICES CO. LIMITED reçues le 18 mars 2025 ;
Vu la réponse du rapporteur notifiée à la société INFINITE STYLES SERVICES CO. LIMITED le 18 avril 2025 ;
Vu les observations écrites de la société INFINITE STYLES SERVICES CO. LIMITED reçues le 19 mai 2025 ;
Vu la clôture de l’instruction notifiée à la société INFINITE STYLES SERVICES CO. LIMITED le 10 juin 2025 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 10 juillet 2025 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte du 10 juillet 2025 :
- M. Fabien TARISSAN, commissaire, entendu en son rapport ;
En qualité de représentants de la société INFINITE STYLES SERVICES CO. LIMITED :
- […]
Le président ayant vérifié l’identité des représentants du mis en cause, présenté le déroulé de la séance et rappelé que les mis en cause peuvent, s’ils le souhaitent, présenter des observations orales introductives ou en réponse aux questions des membres de la formation restreinte.
La société INFINITE STYLES SERVICES CO. LIMITED ayant été informée, à titre conservatoire et au regard des implications encore incertaines de la jurisprudence du Conseil constitutionnel en cette matière, de son droit de garder le silence sur les faits qui lui étaient reprochés, et celle-ci ayant eu la parole en dernier.
Après en avoir délibéré, a adopté la décision suivante :
I. Faits et procédure
1. L’activité du groupe INFINITE STYLES consiste en la vente, principalement sur son site web " shein.com ", de vêtements, chaussures et accessoires de sa marque " SHEIN ", mais également de marques déposées par des tiers.
2. Le groupe INFINITE STYLES, dont la maison mère ROADGET BUSINESS PTE LTD est située à Singapour, est composé de plusieurs établissements au sein de l’Union européenne, dont les établissements irlandais INFINITE STYLES ECOMMERCE LIMITED et INFINITE STYLES SERVICES CO. LIMITED détenus à 100 % par la maison mère, ainsi que l’établissement français INFINITE STYLES ECOMMERCE FRANCE détenu à 100 % par la société irlandaise INFINITE STYLES ECOMMERCE LIMITED.
3. La distribution, dans l’Union européenne, des produits de la marque " SHEIN " est assurée par la société INFINITE STYLES ECOMMERCE LIMITED. La société INFINITE STYLES SERVICES CO. LIMITED est en charge, depuis le 1er août 2023, de la gestion des sous-domaines européens du nom de domaine " shein.com ". La société INFINITE STYLES ECOMMERCE FRANCE, quant à elle, promeut, en France, les produits de la marque " SHEIN ", notamment en organisant des défilés de mode et des boutiques éphémères.
4. En 2023, le chiffre d’affaires de la société ROADGET BUSINESS PTE LTD était de […] dollars (soit environ […] d’euros) et ses bénéfices de […] dollars (soit environ […] d’euros).
5. Par décision n° 2023-193C du 31 juillet 2023, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou " la CNIL ") a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle afin de vérifier la conformité à la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " LIL ") et au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après " le RGPD " ou " le Règlement "), de tout traitement accessible à partir du domaine " shein.com " depuis un terminal situé en France.
6. En application de cette décision, le 10 août 2023, une délégation a procédé à un contrôle en ligne sur le site web " shein.com ", au cours de laquelle elle a reproduit le parcours d’un utilisateur se rendant sur le site web " shein.com ".
7. Par courrier du 9 août 2023, la société INFINITE STYLES ECOMMERCE FRANCE a ensuite été convoquée à une audition le 29 août 2023. Celle-ci a été reportée à la demande de la société INFINITE STYLES ECOMMERCE FRANCE. Elle a donc été convoquée, par courrier du 24 août 2023, à une audition le 5 octobre 2023.
8. L’ensemble de ces opérations de contrôle a donné lieu à des échanges entre la délégation et les sociétés contrôlées portant particulièrement sur la finalité des cookies dont le dépôt avait été constaté à l’occasion du contrôle en ligne, sur leurs activités et la gouvernance des traitements de données à caractère personnel.
9. Aux fins d’instruction de ces éléments, la Présidente de la Commission a, le 30 octobre 2024, désigné Monsieur Fabien TARISSAN en qualité de rapporteur sur le fondement de l’article 39 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi Informatique et Libertés.
10. Le 18 février 2025, à l’issue de son instruction, le rapporteur a fait notifier à la société un rapport détaillant le manquement à l’article 82 de la loi Informatique et Libertés modifiée qu’il estimait constitué en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société et une injonction assortie d’une astreinte de mettre en conformité le traitement avec les dispositions de l’article 82 de la loi Informatique et Libertés. Il proposait également que cette décision soit rendue publique.
11. Le 18 mars 2025, la société a produit des observations en réponse au rapport de sanction.
12. Le rapporteur a répondu aux observations de la société le 18 avril 2025.
13. Le 19 mai 2025, la société a produit ses deuxièmes observations en réponse.
14. Par courrier du 10 juin 2025, le rapporteur a, en application du III de l’article 40 du décret n° 2019-536 précité, informé la société et le président de la formation restreinte que l’instruction était close.
15. Par courrier du 11 juin 2025, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 10 juillet 2025.
16. Le rapporteur et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le traitement en cause et la détermination du responsable de traitement
17. Le traitement objet de la présente procédure est relatif au dépôt de cookies sur le terminal des utilisateurs résidant en France lors de la navigation sur le sous-domaine français du nom de domaine " shein.com ".
18. Le paragraphe 7 de l’article 4 du RGPD - qui s’applique en raison du renvoi fait par l’article 2 de la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques, telle que modifiée par la directive 2006/24/CE du 15 mars 2006 et par la directive 2009/136/CE du 25 novembre 2009 (ci-après, directive " ePrivacy ") à l’ancienne directive 95/46/CE à laquelle s’est substitué le RGPD - prévoit que le responsable de traitement est " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
19. En l’espèce, la formation restreinte relève que la délégation a été informée, lors du contrôle sur audition, que " la société INFINITE STYLES SERVICES LIMITED […] est devenue le gestionnaire des sous-domaines de " shein.com " dans l’UE " et, par un courrier du 21 mars 2024, que " tous les cookies des sites internet Shein de la région EMEA sont exploités par Infinite Styles Services Co. Limited ".