La Cnil sanctionne Google et Shein pour leur mauvaise gestion des cookies

Parfois critiquée pour son inaction ou la faiblesse de ses sanctions, la Commission nationale de l'informatique et des libertés change de ton. Dans deux décisions rendues le 1er septembre 2025, la formation restreinte a prononcé une sanction de 150 millions d'euros à l'encontre de Shein et une de 325 millions d'euros à l'encontre de Google. Ces amendes condamnent des mauvaises pratiques en matière de suivi et de ciblage des internautes.

Dépôt de cookies sans consentement

La procédure visant Shein remonte à un contrôle en ligne réalisé en août 2024 sur son site internet. La Commission a constaté le dépôt de cookies sur les terminaux des utilisateurs en France sans qu'un consentement préalable et éclairé ne soit recueilli. La formation restreinte a retenu que la filiale Infinite Styles Services Co. Limited, basée en Irlande, était bien le responsable du traitement concerné.

De son côté, le géant chinois soutenait que seule l'autorité irlandaise, la Data Protection Commission (DPC), était compétente, invoquant le mécanisme de "guichet unique" du Règlement général sur la protection des données (RGPD). La Cnil a rejeté cet argument : elle a rappelé que les opérations liées aux cookies relèvent de la directive européenne ePrivacy et que la compétence nationale s'applique indépendamment du caractère transfrontalier du traitement.

Shein s'est mis en conformité

La Cnil a relevé dans sa délibération que la société avait apporté des modifications à son site internet au cours de la procédure. Elle n'a donc pas prononcé d'injonction de mise en conformité.

Du côté de Google, la Cnil avait ouvert deux enquêtes visant la société. La première, initiée par une plainte de None of your business (Noyb) en août 2022, portait sur l'envoi d'emails promotionnels dans l'onglet "Promotions" de Gmail sans le consentement des utilisateurs de la messagerie. La seconde, lancée en avril 2023, concernait les traceurs déposés lors de l'utilisation des services phares de Google, tels que Search, YouTube et Maps. Entre fin 2022 et 2023, plusieurs contrôles en ligne et sur place ont été menés ainsi que des auditions des salariés.

La Cnil a retenu plusieurs manquements. Elle a, en effet, jugé que l'affichage de publicités prenant la forme d'emails nécessitait le recueil du consentement des utilisateurs.

Google incite les utilisateurs à choisir les traceurs des pub personnalisées

Elle a aussi considéré que, lorsqu’ils créent un compte Google, les utilisateurs sont incités à choisir les traceurs liés à l’affichage de publicités personnalisées, au détriment de ceux liés à l’affichage de publicités génériques. De plus, ils ne sont pas clairement informés que l’accès aux services de Google est conditionné au dépôt de traceurs à finalité publicitaire. Leur consentement recueilli dans ce cadre n’est donc pas valable, a-t-elle conclu.

Google a 6 mois pour se mettre en conformité. A défaut, il devra payer une astreinte de 100 000 euros par jour de retard. La sanction est tout de même moins élevée que celle requise par la rapporteure de la Cnil qui réclamait une amende de 525 millions d'euros.

Aux Etats-Unis, une class action de 425 millions de dollars

Quelques jours après la décision de la Cnil, un jury fédéral américain a rendu un verdict majeur en condamnant Google à verser 425 millions de dollars (365 millions d'euros environ) dans le cadre d'un procès collectif pour atteinte à la vie privée. Les requérants lui reprochaient de continuer à collecter leurs données personnelles, même après avoir désactivé le paramètre "Web & App Activity" censé limiter ce suivi.

L'action collective concerne environ 98 millions d'utilisateurs et 174 millions d'appareils, ce qui représente la modeste somme de 4 dollars par utilisateur. La société américaine a annoncé son intention de faire appel.

Sélectionné pour vous

La Commission européenne inflige 2,95 milliards d'euros à Google et propose une scission

Modèle "Pay or Consent" : Un surcoût pour les utilisateurs, un gain minime pour les entreprises

Priorités stratégiques des médias : cap sur l’IA pour développer le traitement de données