La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié une décision de clôture de l'injonction prononcée à l'encontre des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED, estimant que celles-ci se sont conformées aux exigences spécifiques de sa précédente délibération, notamment en modifiant la présentation de ses publicités dans sa messagerie et en clarifiant l'information sur les traceurs lors de la création d'un compte.

Faits et contexte

La Commission Nationale de l'Informatique et des Libertés (CNIL) a aujourd'hui publié une décision de clôture de l'injonction qui avait été prononcée à l'encontre des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED, en complément d'une amende de 325 000 000 €.

Cette injonction, assortie d'une astreinte de 100 000 € par jour de retard, faisait suite à une décision de sanction du 1er septembre 2025 et imposait à l'entreprise de corriger deux manquements dans un délai de six mois.

Motifs de la décision

L'autorité a examiné les mesures prises par les sociétés pour répondre aux deux points de l'injonction et a conclu qu'elles s'y étaient conformées :

• Information sur les traceurs lors de la création de compte : L'autorité avait exigé que les utilisateurs situés en France soient suffisamment informés que la création d'un compte Google entraînait nécessairement le dépôt de traceurs à des fins publicitaires. L'autorité a constaté que les sociétés ont complété le parcours de création de compte en ajoutant des informations précisant que cette création est conditionnée par le dépôt de ces traceurs, en contrepartie de la gratuité du service. Elle a jugé que cette mesure répondait à la demande de l'injonction.
• Recueil du consentement pour les publicités dans la messagerie : L'injonction imposait de recueillir le consentement des utilisateurs de la messagerie avant d'afficher des annonces publicitaires prenant la forme de courriels. Pour se conformer, les sociétés ont modifié le format de ces annonces afin qu'elles se distinguent désormais clairement des courriels privés. L'autorité a estimé que, dans ces conditions, le recueil du consentement n'était plus requis au titre de l'article L. 34-5 du code des postes et des communications électroniques, satisfaisant ainsi à l'injonction.

Décision de l'autorité

En conséquence, l'autorité a prononcé la clôture de la procédure d'injonction à l'encontre des sociétés GOOGLE LLC et GOOGLE IRELAND LIMITED, considérant que les obligations fixées dans la délibération du 1er septembre 2025 ont été satisfaites dans le délai imparti.

Enseignements

Cette décision précise que :

• Une décision de clôture d'injonction ne vaut pas validation de la conformité globale d'un traitement ; son périmètre est strictement limité aux points spécifiques visés par l'injonction initiale, et l'autorité se réserve le droit de mener d'autres contrôles.
• Pour se conformer à une injonction, il est possible de modifier la nature ou la présentation d'un service pour le faire sortir du champ d'application de l'obligation légale concernée, comme alternative à la mise en place d'un mécanisme de conformité (tel qu'un recueil de consentement).
• L'information fournie à l'utilisateur doit clairement indiquer que l'accès à un service gratuit est conditionné par le dépôt de traceurs publicitaires, présenté comme une contrepartie du service.